DOU 21/03/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023032100140 140 Nº 55, terça-feira, 21 de março de 2023 ISSN 1677-7042 Seção 1 III - a promoção da conformidade do participante com os requisitos de segurança, incluindo a execução de planos de ação para mitigação de vulnerabilidades identificadas durante a realização de procedimentos de avaliação internos e externos; IV - o provimento e a utilização de informações e ferramentas para o aprimoramento contínuo e a prevenção e a detecção de fraudes entre IOSMF e participantes; V - a resposta tempestiva a indícios de fraudes, envolvendo IOSMF e participantes; VI - a promoção contínua de treinamento, divulgação e compartilhamento de informações para a gestão de fraudes, sem prejuízo das leis de sigilo bancário e de proteção de dados; e VII - o aproveitamento do aprendizado sobre gestão de fraudes para evolução e coordenação de práticas, inclusive com outras IOSMF. Seção IV Da Gestão da Terceirização de Serviços Relevantes Art. 69. As IOSMF devem assegurar que suas políticas, estratégias e estruturas para gerenciamento de riscos contemplem os critérios de decisão quanto à terceirização de serviços relevantes, incluindo serviços relevantes de processamento e armazenamento de dados. Parágrafo único. A terceirização de serviços relevantes não exime a instituição do cumprimento de quaisquer dispositivos deste Regulamento, especialmente os associados ao risco operacional, e requer da instituição uma gestão ainda mais robusta dos riscos advindos de fatores externos. Art. 70. As IOSMF, previamente à contratação de serviços relevantes, devem adotar procedimentos que contemplem: I - a adoção de práticas de governança corporativa e de gestão proporcionais à relevância do serviço a ser contratado e aos riscos a que estejam expostos; II - a verificação da capacidade do potencial prestador de serviço de assegurar: a) o cumprimento da legislação e da regulamentação em vigor; b) o acesso da instituição contratante aos relatórios elaborados por empresa de auditoria especializada independente contratada pelo prestador de serviço, relativos aos procedimentos e aos controles utilizados na prestação dos serviços a serem contratados; c) o provimento de informações e de recursos de gestão adequados ao monitoramento dos serviços a serem prestados; e d) o acesso do Banco Central do Brasil para a realização de supervisão, nos moldes daqueles realizados na própria IOSMF; e III - no caso de contratação de serviços relevantes de processamento e armazenamento de dados, a verificação adicional da capacidade do potencial prestador de serviço de assegurar: a) o acesso da instituição aos dados e às informações a serem processados ou armazenados pelo prestador de serviço; b) a confidencialidade, a integridade, a disponibilidade e a recuperação dos dados e das informações processados ou armazenados pelo prestador de serviço; c) a sua observância a certificações exigidas pela instituição para a prestação do serviço a ser contratado; d) a identificação e a segregação dos dados dos participantes por meio de controles físicos ou lógicos; e e) a qualidade dos controles de acesso voltados à proteção dos dados e das informações dos participantes da instituição. § 1º Na avaliação da relevância do serviço a ser contratado, de que trata o inciso I do caput, a entidade contratante deve considerar a criticidade do serviço e a sensibilidade dos dados e das informações a serem processados, armazenados e gerenciados pelo contratado, levando em conta, inclusive, a classificação realizada nos termos da alínea "c" do inciso V do art. 67. § 2º Os procedimentos de que trata o caput, inclusive as informações relativas à verificação mencionada nos incisos II e III, devem ser documentados. § 3º No caso da execução de aplicativos por meio da internet, referidos no inciso LII do art. 2º, a entidade deve assegurar que o potencial prestador dos serviços adote controles que mitiguem os efeitos de eventuais vulnerabilidades na liberação de novas versões do aplicativo. § 4º A instituição deve possuir recursos e competências necessários para a adequada gestão dos serviços a serem contratados, inclusive para análise de informações e uso dos recursos providos nos termos da alínea "c" do inciso II do caput. Art. 71. A contratação de serviços relevantes de processamento, armazenamento de dados e de computação em nuvem prestados no exterior deve observar os seguintes requisitos: I - a existência de convênio para troca de informações entre o Banco Central do Brasil e as autoridades supervisoras dos países onde os serviços poderão ser prestados; II - a instituição contratante deve assegurar que a prestação dos serviços referidos no caput não cause prejuízos ao seu regular funcionamento nem embaraço à atuação do Banco Central do Brasil; III - a instituição contratante deve definir, previamente à contratação, os países e as regiões em cada país onde os serviços poderão ser prestados e os dados poderão ser armazenados, processados e gerenciados; e IV - a instituição contratante deve prever alternativas para a continuidade dos negócios, no caso de impossibilidade de manutenção ou extinção do contrato de prestação de serviços. § 1º No caso de inexistência de convênio nos termos do inciso I do caput, a instituição contratante deverá solicitar autorização do Banco Central do Brasil, no âmbito das autorizações de que tratam os incisos I, II, III e XI do art. 4º deste Regulamento, para a contratação de serviços e para as alterações contratuais que impliquem modificação de informações relacionadas à denominação da empresa contratada, aos serviços relevantes contratados e à indicação dos países e das regiões em cada país onde os serviços poderão ser prestados e os dados poderão ser armazenados, processados e gerenciados, conforme o inciso III deste artigo. § 2º As instituições deverão assegurar que a legislação e a regulamentação nos países e nas regiões em cada país onde os serviços poderão ser prestados não restringem nem impedem o acesso das instituições contratantes e do Banco Central do Brasil aos dados e às informações. § 3º A comprovação do atendimento aos requisitos de que tratam os incisos I a IV do caput e o cumprimento da exigência de que trata o § 2º devem ser documentados. § 4º O prestador de serviço relevante no exterior deve atender, pelo menos, aos mesmos requisitos solicitados aos prestadores de serviços relevantes localizados no território nacional. § 5º O prestador de serviço relevante no exterior deve possuir representação no Brasil. § 6º O supervisor estrangeiro deve ter as mesmas competências regulamentares e de supervisão de IOSMF dos supervisores do Banco Central do Brasil. § 7º No convênio, de que trata o inciso I do caput, ou memorando de entendimento, deve estar previsto o relacionamento direto do Banco Central do Brasil com o prestador de serviço relevante, inclusive para realizar inspeções, caso necessário. § 8º O prestador de serviço relevante deverá ter, no Brasil, um site de contingência com mecanismos para a continuidade de negócios que possibilitem a execução do serviço relevante contratado em território nacional, no caso da materialização de riscos que inviabilizem a continuidade da prestação do serviço no exterior, sendo que tais mecanismos devem incluir a previsão da replicação da base de dados e de informações no site doméstico e devem ser testados periodicamente. § 9º Caso se entenda necessário, o prestador de serviço relevante deverá prestar informações e fornecer evidências à atuação Banco Central do Brasil, inclusive em português, se solicitado. Art. 72. A IOSMF contratante dos serviços mencionados no art. 70 é responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança e pelo sigilo em relação aos serviços contratados, bem como pelo cumprimento da legislação e da regulamentação em vigor. Art. 73. As contratações e alterações relacionadas à terceirização de serviços relevantes devem ser comunicadas pelas instituições referidas no art. 1º ao Banco Central do Brasil. § 1º A comunicação mencionada no caput deve conter as seguintes informações: I - a denominação da empresa a ser contratada; II - os serviços relevantes a serem contratados; III - a indicação dos países e das regiões em cada país onde os serviços poderão ser prestados definida nos termos do inciso III do art. 71, no caso de contratação no exterior; e IV - outras informações a critério do Banco Central do Brasil. § 2º A comunicação de que trata o caput deve ser realizada até 10 (dez) dias após a contratação dos serviços. § 3º As alterações contratuais que impliquem modificação das informações de que trata o § 1º devem ser comunicadas ao Banco Central do Brasil até 10 (dez) dias após a alteração contratual. § 4º As minutas de contratos ou de aditivos contratuais relativos a serviços relevantes de processamento e armazenamento de dados e de computação em nuvem devem ser encaminhadas ao Banco Central do Brasil, no mínimo, 60 (sessenta) dias antes da assinatura dos respectivos instrumentos contratuais. Art. 74. Os contratos para prestação de serviços relevantes de processamento, armazenamento de dados e computação em nuvem devem prever: I - a adoção de medidas de segurança para a transmissão e armazenamento dos dados; II - a manutenção, enquanto o contrato estiver vigente, da segregação dos dados e dos controles de acesso para proteção das informações dos participantes; III - os acordos de nível de serviço e os parâmetros de qualidade a serem observados durante a vigência do contrato, compatíveis com as necessidades regulamentares e operacionais dos SMF que empregam os serviços contratados em sua operacionalização; IV - a obrigatoriedade, em caso de extinção do contrato, de: a) transferência dos dados ao novo prestador de serviços ou à IOSMF contratante; e b) exclusão dos dados pela empresa contratada substituída, após a transferência dos dados prevista na alínea "a" e a confirmação da integridade e da disponibilidade dos dados recebidos; V - o acesso da IOSMF a: a) informações fornecidas pela empresa contratada, visando a verificar o cumprimento do disposto nos incisos I e II; b) informações relativas aos relatórios de auditoria especializada e às certificações exigidas, nos termos da alínea "b" do inciso II e da alínea "c" do inciso III do art. 70; e c) informações e recursos de gestão adequados ao monitoramento dos serviços a serem prestados, de que trata a alínea "c" do inciso II do art. 70; VI - a obrigação de a empresa contratada notificar a IOSMF contratante sobre a subcontratação de serviços relevantes para a instituição; VII - a permissão de acesso do Banco Central do Brasil aos contratos e aos acordos firmados para a prestação de serviços, à documentação e às informações referentes aos serviços prestados, aos dados armazenados e às informações sobre seus processamentos, às cópias de segurança dos dados e das informações, bem como aos códigos de acesso aos dados e às informações e aos relatórios das certificações tratadas no art. 70, inciso III, alínea "c", assim como à documentação e demais insumos que os subsidiaram; VIII - a adoção de medidas pela IOSMF contratante, em decorrência de determinação do Banco Central do Brasil; IX - a obrigação de a empresa contratada manter a IOSMF contratante permanentemente informada sobre eventuais limitações que possam afetar a prestação dos serviços ou o cumprimento da legislação e da regulamentação em vigor; e X - o acesso do Banco Central do Brasil, para a realização de processos de supervisão, nos mesmos moldes que seriam realizados na IOSMF. § 1º O contrato mencionado no caput deve prever, na hipótese de antecipação do seu vencimento em decorrência de procedimento concursal, a obrigação de a empresa contratada manter, por pelo menos 90 (noventa) dias, contados a partir da data de vencimento antecipado, o acesso aos contratos, aos acordos, à documentação e às informações referentes aos serviços prestados, aos dados armazenados e às informações sobre seus processamentos, às cópias de segurança dos dados e das informações, bem como aos códigos de acesso de que trata o inciso VII do caput que estejam em poder da empresa contratada. § 2º Os acordos de nível de serviço e os parâmetros de qualidade tratados no inciso III do caput devem ser suficientes para assegurar, pelo menos, o disposto no Capítulo I do Título V. Art. 75. O disposto nos arts. 70, 72, 73 e 74 não se aplica à contratação de sistemas operados por IOSMF autorizadas pelo Banco Central do Brasil. Art. 76. O Banco Central do Brasil poderá vetar ou impor restrições para a contratação de serviços de processamento e armazenamento de dados quando constatar, a qualquer tempo, a inobservância do disposto neste Regulamento, bem como a limitação à atuação da supervisão do Banco Central do Brasil, estabelecendo prazo para a adequação dos referidos serviços e dos contratos correspondentes. Art. 77. O Banco Central do Brasil poderá estabelecer a exigência de certificações e outros requisitos técnicos a serem requeridos das empresas contratadas, pela IOSMF contratante, na prestação dos serviços de que trata o art. 69. Seção V Da Continuidade de Negócios Art. 78. As IOSMF devem estruturar gestão de continuidade de negócios compatível com sua natureza, porte, complexidade, estrutura e perfil de risco. § 1º A estrutura de que trata o caput deve: I - estar amparada na política, nos princípios e nas melhores práticas da gestão de continuidade de negócios; II - definir de forma clara e objetiva as responsabilidades das partes envolvidas, inclusive quando terceirizadas; III - prever mecanismos para a identificação de processos e ativos essenciais; IV - garantir elevados padrões de resiliência cibernética e operacional; V - prever plano de continuidade de negócios, responsável por estabelecer um conjunto de estratégias para garantir a preservação dos processos e ativos essenciais após a ocorrência de materialização de um evento de risco, e até o retorno à situação normal de funcionamento; VI - estabelecer e documentar os critérios que configurem uma situação de crise; VII - prever a promoção contínua de treinamento, divulgação e compartilhamento de informações para a gestão da continuidade de negócios; VIII - comunicar tempestivamente o Banco Central do Brasil sobre as ocorrências e as interrupções que configurem uma situação de crise pela IOSMF, bem como as providências para o reinício das suas atividades; IX - prever tratamento para mitigar os efeitos dos incidentes relevantes de que trata o inciso IV do art. 67 e da interrupção dos serviços relevantes de processamento, armazenamento de dados e de computação em nuvem contratados; X - estipular prazo para reinício ou normalização das suas atividades ou dos serviços relevantes interrompidos, em consonância com o estabelecido no Capítulo I do Título V, no que for aplicável ao SMF; XI - assegurar a completa liquidação das operações até o fim do dia da materialização do evento de risco, mesmo em condições extremas; XII - contemplar outras IOSMF e provedores de serviços e insumos, ainda que no mesmo conglomerado;