DOU 21/03/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023032100141 141 Nº 55, terça-feira, 21 de março de 2023 ISSN 1677-7042 Seção 1 XIII - ser submetida a avaliações e revisões periódicas; XIV - prever a instalação e operação de centro de processamento secundário, sujeito a um conjunto de riscos diferentes em relação ao centro de processamento principal, capaz de processar volumes no mínimo iguais ao maior volume verificado nos últimos 252 (duzentos e cinquenta e dois) dias úteis, acrescido de um percentual de segurança, e com replicação síncrona de dados do centro de processamento principal; XV - prever procedimentos de emergência, no caso de impedimento simultâneo dos centros de processamento principal e secundário; XVI - prever testes de continuidade de negócios, no mínimo anuais, que: a) contemplem cenários contendo eventos que possam acarretar a interrupção das atividades críticas e a perda ou inacessibilidade da equipe responsável por essas atividades; b) tenham seus resultados documentados, incluindo a descrição de eventuais providências a serem adotadas para melhoria dos procedimentos; c) tenham seus resultados avaliados por equipe independente e levados ao conhecimento dos administradores; d) incluam a participação de terceiros responsáveis pela prestação de serviços críticos e participantes do mercado; e e) sejam realizados preferencialmente em condições normais de funcionamento da IOSMF; e XVII - assegurar a confiabilidade e tempestividade das informações divulgadas à equipe da entidade operadora, aos participantes, ao Banco Central do Brasil e, quando couber, a outros provedores de serviços financeiros e à imprensa. § 2º A estrutura de que trata o caput deve ser avaliada pela auditoria interna e pelos auditores independentes. Art. 79. As alterações planejadas pela IOSMF que venham a afetar de maneira relevante a gestão da continuidade de negócios devem ser comunicadas ao Banco Central do Brasil com 30 (trinta) dias de antecedência. Art. 80. A gestão de continuidade de negócios deve ser operacionalizada por profissionais de reconhecida competência técnica na matéria, aptos a desempenhar de maneira adequada suas responsabilidades. Seção VI Da Infraestrutura Tecnológica e da Gestão de Serviços de Tecnologia da Informação Art. 81. As IOSMF devem estruturar gestão dos serviços de tecnologia da informação compatível com sua natureza, porte, complexidade, estrutura e perfil de risco. Parágrafo único. A estrutura de que trata o caput deve: I - estar amparada na política, nos princípios e nas melhores práticas da gestão dos serviços de tecnologia da informação, de forma a garantir a adequada gestão de disponibilidade, capacidade, desempenho, incidentes, problemas, mudanças e fornecedores, entre outros; II - definir de forma clara e objetiva as responsabilidades das partes envolvidas, inclusive quando terceirizadas; III - ser robusta e adequada para garantir o provimento de serviços, tanto em circunstâncias normais quanto em períodos de volumes crescentes de estresse e atingir seus objetivos em termos de nível de serviço; IV - ser robusta e adequada às necessidades do modelo de negócio e apropriada para absorver eventuais mudanças desse modelo; e V - ser submetida a avaliações e revisões periódicas. Seção VII Da Segurança da Informação e Cibernética Art. 82. As IOSMF devem estruturar gestão e infraestrutura de segurança da informação e cibernética compatíveis com sua natureza, porte, complexidade, estrutura, perfil de risco e sensibilidade dos dados e das informações sob sua responsabilidade. § 1º A estrutura de que trata o caput deve: I - estar amparada na política, nos princípios e nas melhores práticas relacionadas à segurança da informação e cibernética, preservando a confidencialidade, a integridade e a disponibilidade dos dados e dos sistemas; II - abranger não apenas aspectos tecnológicos, mas também processos e pessoas; III - definir de forma clara e objetiva as responsabilidades das partes envolvidas, inclusive quando terceirizadas; IV - prever adequados níveis de sua governança, garantindo, inclusive, a adequada estrutura de incentivos para as diversas partes interessadas; V - prever mecanismos para a proteção da confiabilidade, da integridade e da disponibilidade de seus dados e ativos, inibindo, de forma ampla, a intrusão e o vazamento dos dados e das informações; VI - prever mecanismos para a detecção antecipada de anomalias e eventos de risco potencial; VII - estar devidamente integrada com a estrutura de gestão de incidentes e a de continuidade de negócios, de forma a permitir uma pronta e adequada resposta e recuperação; VIII - ser submetida a avaliações e revisões periódicas; IX - prever programa de testes regulares nos sistemas de segurança da informação e cibernética compatíveis e de acordo com as melhores práticas vigentes; X - considerar o segmento de atuação ao qual a IOSMF pertença e contemplar, entre outros, os advindos de outras IOSMF, de provedores de serviços e insumos, ainda que no mesmo conglomerado, de participantes, e os riscos que suas operações possam representar para outras IOSMF; XI - prever mecanismos de compartilhamento de informações sobre os incidentes relevantes por canais seguros com o segmento de atuação e, ainda, de divulgação responsável dos eventos ocorridos; e XII - prever, diante da constante evolução e mutabilidade do setor, mecanismos que garantam o constante aprendizado e a contínua adaptação e evolução da estrutura. § 2º A estrutura de que trata o § 1º deve ser própria. § 3º A estrutura de que trata o caput deve ser avaliada pela auditoria interna e pelos auditores independentes. § 4º O compartilhamento de que trata o inciso XI do § 1º deve abranger informações sobre incidentes relevantes recebidas de empresas prestadoras de serviços a terceiros. § 5º As informações compartilhadas, nos termos do disposto no inciso XI do § 1º, devem estar disponíveis para o Banco Central do Brasil. Art. 83. O órgão responsável pela gestão da segurança da informação e cibernética da IOSMF deve ser próprio. § 1º Ao órgão responsável pela gestão da segurança da informação e cibernética deve ser assegurada a devida independência, de forma a garantir uma gestão efetiva. § 2º Os responsáveis pela gestão da segurança da informação e cibernética devem ser profissionais de reconhecida competência técnica na matéria, aptos a desempenhar de maneira adequada suas responsabilidades. Art. 84. As IOSMF devem estabelecer plano diretor de segurança da informação visando à implementação da política de segurança da informação e cibernética. Parágrafo único. O plano mencionado no caput deve abranger, no mínimo: I - as ações a serem desenvolvidas pela IOSMF para adequar suas estruturas organizacional e operacional aos princípios e às diretrizes da política de segurança da informação e cibernética; II - as rotinas, os procedimentos, os controles e as tecnologias a serem utilizados na prevenção e na resposta a incidentes, em conformidade com as diretrizes da política de segurança da informação e cibernética; e III - o tratamento das potenciais vulnerabilidades e ameaças, inclusive quanto à segurança física. Art. 85. As IOSMF devem estabelecer plano de resposta a incidentes objetivando o adequado gerenciamento de incidentes que possam impactar sua operação. § 1º O plano mencionado no caput deve estabelecer papéis e responsabilidades relativos ao gerenciamento de incidentes, incluindo atividades tais como: I - identificação e registro de incidentes relevantes; II - classificação e priorização de incidentes de acordo com critérios previamente estabelecidos; III - execução de procedimentos de resposta e recuperação objetivando mitigar os efeitos dos incidentes sobre a operação da IOSMF; IV - implementação de planos de comunicação, tanto para o público interno quanto externo; e V - identificação de lições aprendidas para o aprimoramento do gerenciamento de incidentes. § 2º O plano mencionado no caput deve ser periodicamente testado e revisado. Art. 86. As IOSMF devem designar diretor, definido em estatuto ou contrato social, responsável pela política de segurança da informação e cibernética e pela execução do plano diretor de segurança da informação. Parágrafo único. O diretor mencionado no caput pode desempenhar outras funções na entidade, desde que não haja conflito de interesses. Art. 87. As IOSMF devem elaborar relatório anual sobre a implementação do plano diretor de segurança da informação de que trata o art. 84, com data-base de 31 de dezembro. § 1º O relatório de que trata o caput deve abordar, no mínimo: I - a efetividade da implementação das ações descritas no inciso I do parágrafo único do art. 84; II - o resumo dos resultados obtidos na implementação das rotinas, dos procedimentos, dos controles e das tecnologias a serem utilizados na prevenção e na resposta a incidentes descritos inciso II do parágrafo único do art. 84; III - o tratamento das potenciais vulnerabilidades e ameaças, inclusive quanto à segurança física, descrito no inciso III do parágrafo único do art. 84; IV - os incidentes relevantes ocorridos no período, com destaque para os relacionados com o ambiente cibernético; e V - os resultados dos testes de continuidade dos serviços prestados, considerando cenários de indisponibilidade ocasionada por incidentes. § 2º O relatório mencionado no caput deve ser apresentado ao conselho de administração e, se inexistente, à diretoria prevista em estatuto ou contrato social, até 31 de março do ano seguinte ao da data-base. § 3º O relatório mencionado no caput deve estar à disposição do Banco Central do Brasil pelo prazo mínimo de 5 (cinco) anos contados de sua emissão. Art. 88. O plano diretor de segurança da informação mencionado no art. 84 deve: I - ser aprovado pelo conselho de administração da IOSMF ou, se inexistente, pela diretoria prevista em estatuto ou contrato social; II - ser revisado, no mínimo, anualmente; e III - estar à disposição do Banco Central do Brasil pelo prazo mínimo de 5 (cinco) anos contados de sua revogação. CAPÍTULO VII DA EFICIÊNCIA E DA EFETIVIDADE Art. 89. As IOSMF devem estruturar-se de modo a entregar com eficiência e efetividade os produtos e serviços ofertados, em especial as sistemáticas de liquidação, depósito centralizado e registro, bem como o suporte tecnológico utilizado, aos seus participantes e ao mercado em que atuam. Parágrafo único. A instituição deve estruturar gestão para o acompanhamento contínuo da eficiência e da efetividade entregues, sendo estabelecidos objetivos e métricas para essa finalidade. CAPÍTULO VIII DOS PROCEDIMENTOS E PADRÕES DE COMUNICAÇÃO Art. 90. As IOSMF devem utilizar ou, no mínimo, acomodar procedimentos e padrões de comunicação relevantes, internacionalmente aceitos. CAPÍTULO IX DA DIVULGAÇÃO DE REGRAS, DE PROCEDIMENTOS E DE DADOS DE MERCADO Art. 91. As IOSMF devem fornecer aos participantes, de forma clara e objetiva, todas as informações necessárias para que esses possam identificar os riscos e os custos aos quais estão submetidos. § 1º As informações de que trata o caput devem ser abrangentes e relacionar- se tanto à IOSMF quanto aos SMF por ela operados, permitindo a completa percepção do participante quanto às suas obrigações e quanto às obrigações da instituição. § 2º O fornecimento de informações de que trata o caput deve contemplar treinamentos que aumentem a percepção do participante com relação ao seu escopo de participação. § 3º Alterações nas informações de que trata o caput devem ser informadas previamente aos participantes para que possam opinar e gerir seu risco da melhor maneira possível. § 4º As tarifas praticadas devem ser divulgadas publicamente no nível dos serviços individuais oferecidos, bem como as políticas de desconto disponíveis. § 5º Os serviços oferecidos devem ter descrição clara e que possibilite a comparação com serviços providos por instituições similares. Art. 92. As IOSMF devem publicar periodicamente autoavaliação de aderência aos Princípios para Infraestruturas do Mercado Financeiro (Principles for Financial Market Infrastructures - PFMI) aplicáveis às atividades exercidas por meio dos SMF por elas operados, de acordo com padrão originalmente publicado pelo Comitê de Sistemas de Liquidação e Pagamentos do Banco de Compensações Internacionais (CPSS/BIS) e pelo Conselho da Organização Internacional de Comissões de Valores (IOSCO Board). Art. 93. As IOSMF devem periodicamente publicar, no mínimo, dados sobre ativos registrados e depositados e sobre volumes e valores das operações cursadas nos SMF, quando aplicável. TÍTULO V DOS SISTEMAS DO MERCADO FINANCEIRO CAPÍTULO I DOS ASPECTOS GERAIS Art. 94. O índice de disponibilidade dos SMF deve ser de, no mínimo, 99,8% (noventa e nove inteiros e oito décimos por cento). Art. 95. O ponto de recuperação objetivado pelos SMF deve ser igual a 0 (zero), de forma a preservar a totalidade dos dados. Art. 96. O tempo de recuperação objetivado pelos SMF deve ser de, no máximo: I - 30 (trinta) minutos, para sistema de liquidação bruta em tempo real; ou II - 2 (duas) horas, para outros tipos de SMF. Art. 97. Nos SMF, as operações devem ser confirmadas no dia em que foram transmitidas. Parágrafo único. Admite-se que as operações sejam confirmadas no dia útil seguinte ao que foram transmitidas nas seguintes hipóteses: I - acionamento do plano de continuidade de negócios; e II - operações não liquidadas por contraparte central e transmitidas após às 18 (dezoito) horas. Art. 98. Os SMF devem possibilitar a liquidação, no dia do respectivo vencimento, das obrigações principais e acessórias dos emissores de ativos financeiros e valores mobiliários, bem como das obrigações contratuais neles cursadas. Parágrafo único. O disposto no caput não se aplica a sistemas de registro. Art. 99. Os SMF devem manter armazenadas as informações relativas às operações, movimentações e registros realizados em seus sistemas, de modo a permitir sua rastreabilidade. CAPÍTULO II DO REGULAMENTO DO SISTEMA DO MERCADO FINANCEIRO Art. 100. Todos os aspectos relacionados neste Capítulo são considerados parte integrante do regulamento do SMF, independentemente de estarem ou não contidos em um único documento e na nomenclatura atribuída aos documentos em que estão contidos. § 1º Caso os aspectos relacionados neste Capítulo estejam contidos em diversos documentos, a relação entre os comandos deve ser clara e coesa, com indicação, ainda, de qual documento deve prevalecer em caso de ambiguidade.