DOU 22/12/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025122200449 449 Nº 243, segunda-feira, 22 de dezembro de 2025 ISSN 1677-7042 Seção 1 § 2º Os procedimentos e os controles de que trata o inciso II do caput devem abranger, no mínimo: I - a autenticação; II - os mecanismos de criptografia; III - os mecanismos de prevenção e detecção de intrusão; IV - os mecanismos de prevenção de vazamentos de informações; V - os mecanismos de proteção contra softwares maliciosos; VI - os mecanismos de rastreabilidade; VII - a gestão de cópias de segurança dos dados e das informações; VIII - a avaliação e a correção de vulnerabilidades dos recursos computacionais e dos sistemas de informação; IX - os controles de acesso; X - a definição e implementação de perfis de configuração segura de ativos de tecnologia; XI - os mecanismos de proteção da rede; XII - a gestão de certificados digitais; XIII - os requisitos de segurança para a integração de sistemas de informação por meio de interfaces eletrônicas; e XIV - as ações de inteligência no ambiente cibernético, incluindo o monitoramento de informações de interesse da instituição na internet, na Deep Web e na Dark Web, além de grupos privados de comunicação. § 3º Os procedimentos e os controles citados no inciso II do caput devem ser aplicados, inclusive: I - no desenvolvimento de sistemas de informação seguros; e II - na adoção de novas tecnologias empregadas nas atividades da instituição. ....................................................................................... § 6º A instituição deve verificar o disposto no inciso I do § 3º, no que couber, nos casos de sistemas de informação por ela adquiridos ou desenvolvidos por empresas prestadoras de serviços a terceiros, executados com a utilização de recursos computacionais da própria instituição. § 7º Os mecanismos de rastreabilidade de que trata o inciso VI do § 2º devem abranger a rastreabilidade de transações e operações, contemplando, no mínimo: I - trilhas de auditoria do processamento fim a fim dos dados e das informações, incluindo a definição e a geração de logs que possibilitem identificar falhas de processamento ou comportamentos atípicos, bem como subsidiar análises; II - definição de tempo de retenção de informações de acordo com o tipo de processamento realizado; e III - retenção segura das trilhas de auditoria. § 8º A avaliação e a correção de vulnerabilidades de que trata o inciso VIII do § 2º deve contemplar, no mínimo: I - testes e análises periódicos para detecção de vulnerabilidades em sistemas de informação; II - varreduras periódicas dos recursos tecnológicos com o objetivo de identificar dispositivos indevidamente conectados à rede corporativa que possam estabelecer conexão com ativos de tecnologia externos à instituição; III - análises periódicas dos recursos tecnológicos com o objetivo de identificar vulnerabilidades que possam comprometer a segurança dos ativos de tecnologia da instituição; IV - testes de intrusão; e V - correção tempestiva das vulnerabilidades identificadas. § 9º Os controles de acesso de que trata o inciso IX do § 2º devem incluir, no mínimo: I - mecanismos para limitar o acesso à rede corporativa a usuários credenciados e a dispositivos autorizados; II - revisão periódica e tempestiva das permissões de acesso, em especial de colaboradores terceirizados com acesso aos recursos computacionais da instituição; e III - implementação de múltiplos fatores de autenticação para acesso à rede corporativa a partir de ambientes externos à instituição. § 10. A definição e implementação de perfis de configuração segura de que trata o inciso X do § 2º devem prever, no mínimo: I - a gestão do ciclo de vida dos recursos computacionais da instituição; II - a aplicação regular de correções de segurança; III - a configuração adequada dos serviços a serem suportados pelos recursos computacionais; e IV - a alteração de senhas e de outros padrões que possam ser utilizados para acessos indevidos aos recursos computacionais. § 11. Os mecanismos de proteção da rede de que trata o inciso XI do § 2º devem contemplar, no mínimo: I - a segmentação de rede de computadores, resguardando, em especial, o ambiente de produção e os recursos computacionais que suportam processos críticos de negócio; II - o estabelecimento de regras de firewall, assim como o monitoramento de conexões, evitando tentativas de conexão com sistemas de informação provenientes de ativos de tecnologia localizados fora da rede corporativa da instituição; III - a definição de critérios para o estabelecimento e o monitoramento de conexões com ambientes externos, em especial em horário noturno e em dias não úteis; IV - as medidas para identificar e prevenir conexões indevidas com ambientes externos à instituição oriundas de recursos tecnológicos da instituição; V - a implementação e manutenção de processos e ferramentas para identificação, análise, tratamento e controle de eventos atípicos no ambiente de produção da instituição, abrangendo, como exemplos, o estabelecimento de virtual private networks - VPN e tentativas de acesso privilegiado a recursos computacionais, especialmente em horário noturno e em dias não úteis; e VI - o estabelecimento de medidas para restringir o acesso a redes corporativas apenas a dispositivos ou ativos de tecnologia devidamente autorizados. § 12. A gestão de certificados digitais de que trata o inciso XII do § 2º deve prever, no mínimo: I - o monitoramento do uso de certificados e assinaturas digitais, contemplando a implementação dos mecanismos de rastreabilidade de que trata o § 7º; II - os procedimentos para a guarda de informações, abrangendo os controles de acesso físico e lógico a chaves privadas sob responsabilidade da instituição; III - procedimentos e ferramentas para evitar o compartilhamento indevido das chaves privadas associadas a certificados digitais da instituição; e IV - a validação tempestiva de certificados revogados perante as autoridades certificadoras." (NR) "Art. 3º-A As instituições referidas no art. 1º devem estabelecer os seguintes requisitos de segurança adicionais, como parte integrante dos procedimentos e controles previstos em sua política de segurança cibernética de que trata o art. 3º: I - no caso de comunicação eletrônica de dados na Rede do Sistema Financeiro Nacional - RSFN: a) uso de múltiplos fatores de autenticação para o acesso administrativo aos ambientes Pix e Sistema de Transferência de Reservas - STR; b) isolamento físico e lógico do ambiente Pix dos demais sistemas da instituição, mantendo instância dedicada e apartada dos demais ambientes nos casos de uso de serviços de computação em nuvem contratados; c) isolamento físico e lógico do ambiente STR dos demais sistemas da instituição, mantendo instância dedicada e apartada dos demais ambientes nos casos de uso de serviços de computação em nuvem contratados; d) monitoramento do uso de credenciais e certificados digitais, bem como estabelecimento de controles para a guarda dessas informações, especialmente as utilizadas no âmbito do Sistema de Pagamentos Instantâneos - SPI; e) implementação de mecanismos de validação da integridade fim a fim das transações pela instituição antes da assinatura digital das mensagens associadas, assegurando que os dados não tenham sido corrompidos ou manipulados durante o processo de geração dessas mensagens; e f) vedação do acesso de empresas prestadoras de serviços a terceiros às chaves privadas associadas a certificados digitais utilizados pela instituição para a assinatura de mensagens; e II - no caso de conexão como participante de Sistemas do Mercado Financeiro - SMF autorizados a operar, a implementação de controles de segurança para prevenção, detecção e resposta a fraudes a serem observados pela instituição. Parágrafo único. As instituições devem observar este artigo de forma compatível com o disposto: I - nesta Resolução; II - na regulamentação em vigor; e III - em todos os requisitos técnicos da RSFN previstos no Catálogo de Serviços do SFN, no Manual de Redes do SFN e no Manual de Segurança do SFN, publicados pelo Banco Central do Brasil." (NR) "Art. 8º ....................................................................... § 1º .............................................................................. ...................................................................................... III - os incidentes relevantes relacionados com o ambiente cibernético ocorridos no período; IV - os resultados dos testes de continuidade de negócios, considerando cenários de indisponibilidade ocasionada por incidentes; e V - os resultados dos testes de intrusão e dos testes, varreduras e análises periódicas para detecção de vulnerabilidades de que trata o art. 3º, § 8º, e os planos de ação estabelecidos para as suas correções, observado o disposto no art. 22-A, caput, inciso III. ............................................................................ " (NR) "Art. 22-A. As instituições devem assegurar que os testes de intrusão mencionados no art. 3º, § 8º, inciso IV, devem: I - ter periodicidade mínima anual; II - ser realizados com independência e imparcialidade por pessoa natural ou empresa especializada contratada pela instituição para essa finalidade, sem prejuízo da realização de testes por equipes da própria instituição; e III - ter os resultados de sua execução documentados, especialmente as eventuais vulnerabilidades que forem identificadas e os planos de ação estabelecidos para suas correções." (NR) "Art. 22-B. O serviço prestado para a comunicação eletrônica de dados na RSFN, de que trata o art. 3º-A, caput, inciso I, é considerado relevante para fins da aplicação do disposto nesta Resolução sobre a contratação de serviços de processamento, armazenamento de dados e computação em nuvem. § 1º Aplica-se o disposto no caput independente da forma de conexão com a RSFN. § 2º O serviço de que trata o caput inclui os casos em que o prestador de serviços fornece serviço de processamento de mensagens no âmbito do SFN e do Sistema de Pagamentos Brasileiro - SPB." (NR) "Art. 23. ....................................................................... ..................................................................................... VIII - os dados, os registros e as informações relativas aos mecanismos de acompanhamento e de controle de que trata o art. 21, contado o prazo a partir da implementação dos citados mecanismos; IX - a documentação com os critérios que configurem uma situação de crise de que trata o art. 20, parágrafo único; e X - a documentação com os resultados da execução de testes de intrusão e os planos de ação estabelecidos para as correções de vulnerabilidades identificadas de que trata o art. 22-A, caput, inciso III, contado o prazo a partir da data de execução dos testes." (NR) Art. 2º As instituições em funcionamento na data da entrada em vigor desta Resolução devem promover as adaptações necessárias à adequação ao disposto nesta Resolução até 1º de março de 2026. Art. 3º Esta Resolução entra em vigor na data de sua publicação. GILNEU FRANCISCO ASTOLFI VIVAN Diretor de Regulação RESOLUÇÃO BCB Nº 539, DE 18 DE DEZEMBRO DE 2025 Altera a Resolução BCB nº 277, de 31 de dezembro de 2022, que regulamenta a Lei nº 14.286, de 29 de dezembro de 2021, para aprimorar os dispositivos sobre as operações de câmbio interbancárias. A Diretoria Colegiada do Banco Central do Brasil, em sessão realizada em 16 de dezembro de 2025, com base no art. 9º da Lei nº 4.595, de 31 de dezembro de 1964, nos arts. 2º, 3º, 5º, caput, inciso I, e 18 da Lei nº 14.286, de 29 de dezembro de 2021, e tendo em vista a Resolução CMN nº 5.042, de 25 de novembro de 2022, resolve: Art. 1º A Resolução BCB nº 277, de 31 de dezembro de 2022, publicada no Diário Oficial da União de 31 de dezembro de 2022, passa a vigorar com as seguintes alterações: "Art. 2º ........................................................................ Parágrafo único. A instituição autorizada a operar no mercado de câmbio deve ser capaz de comprovar que as partes consentem com as condições pactuadas, sendo que, nas operações interbancárias, deve ser observado o art. 15-A, § 4º." (NR) "Art. 8º ........................................................................ I - a comprovação do consentimento das partes às condições pactuadas; e ............................................................................." (NR) "Art. 15. ....................................................................... ....................................................................................... II - nas operações para liquidação a termo, a taxa de câmbio é livremente pactuada entre as partes e deve espelhar o preço negociado da moeda estrangeira para a data da liquidação da operação de câmbio, observado que, em referida data, deve ocorrer a entrega efetiva e simultânea das moedas, nacional e estrangeira, não sendo admitidos adiantamentos das moedas. Parágrafo único. A compra e a venda de moeda estrangeira por arbitragem são registradas com atribuição do mesmo contravalor em reais às moedas compradas e vendidas." (NR) "Art. 15-A. Para fins desta Resolução, as operações de câmbio interbancárias são aquelas realizadas entre instituições autorizadas a operar no mercado de câmbio. § 1º A entrega dos reais nas operações de câmbio interbancárias é efetuada por meio de qualquer meio de pagamento em uso no mercado financeiro, exceto espécie. § 2º As operações de câmbio interbancárias podem ser realizadas com participação de câmara ou prestador de serviços de compensação e de liquidação cujo sistema tenha sido autorizado pelo Banco Central do Brasil para liquidação de operações de câmbio. § 3º Na hipótese referida no § 2º, a câmara ou prestador de serviços de compensação e de liquidação deve manter a comprovação do consentimento das partes às condições pactuadas e as informações sobre as operações de câmbio à disposição do Banco Central do Brasil pelo período mínimo de dez anos, contados do término do exercício em que ocorra o evento de contratação, ou, se houver, de liquidação ou de cancelamento da operação de câmbio. § 4º Na ausência de outra forma previamente acordada entre as partes para o consentimento e a formalização da operação de câmbio interbancária, o registro das informações no Sistema Câmbio e sua confirmação, quando requerida, presumem os referidos consentimento e formalização." (NR) "Art. 15-B. A realização de operação de câmbio com o Banco Central do Brasil ocorre por meio do registro e informação à instituição contraparte de forma automática no Sistema Câmbio." (NR) "Art. 29. ...................................................................... ...................................................................................... II - ................................................................................. .......................................................................................