Resolução CMN nº 5.274/2025: o novo piso de cibersegurança

A Resolução CMN nº 5.274/2025 alterou a Res. CMN nº 4.893/2021 para elevar o nível mínimo de segurança cibernética exigido das instituições autorizadas pelo Banco Central. Ela altera a arquitetura, governança, evidências e, principalmente, como as instituições se conectam e operam infraestruturas críticas como RSFN, Pix e STR.

O Banco Central vem reforçando a resiliência da infraestrutura de comunicação do Sistema Financeiro Nacional e do Sistema de Pagamentos Brasileiro, especialmente após a expansão do Pix e o aumento de criticidade da RSFN. Além disso, mudanças regulatórias recentes sobre prestadores de serviços de tecnologia (PSTI) criaram um desequilíbrio: quem acessa a RSFN via PSTI ficou sujeito a requisitos mais intensos do que quem acessa por soluções próprias. A Res. 5.274/2025 entra exatamente para nivelar o piso regulatório e dar mais robustez ao ecossistema.

Por que essa norma importa

O regulador passou a tratar conectividade e processamento ligados a RSFN/Pix/STR como infraestrutura crítica. Controles que antes eram descritos com mais liberdade viram um conjunto mínimo, objetivo e auditável, com novas exigências em rastreabilidade, gestão de vulnerabilidades e segregação/controle de ambientes críticos.

Na prática, ela afeta disponibilidade, continuidade operacional, governança de terceiros, trilhas de auditoria e qualidade das evidências.

A quem se aplica

Aplica-se às instituições autorizadas a funcionar pelo Banco Central que devem manter política de segurança cibernética e observar regras para contratação de processamento e armazenamento de dados e computação em nuvem nos termos do regime já existente.

A norma se torna especialmente relevante para instituições que:

• Se comunicam pela RSFN, inclusive em ambientes Pix e STR;
• Participam de sistemas do mercado financeiro autorizados a operar, com exigências adicionais de controles antifraude;
• Terceirizam partes relevantes de conectividade ou processamento relacionados à RSFN, inclusive por serviços em nuvem.

O que mudou em relação à regra anterior

a) Um checklist mínimo obrigatório

A política e os controles precisam cobrir, no mínimo, um rol que inclui autenticação, criptografia, prevenção/detecção de intrusão, prevenção de vazamentos (DLP), antimalware, rastreabilidade, backups, gestão de vulnerabilidades, controle de acessos, hardening/configuração segura, proteção de rede, gestão de certificados digitais, segurança na integração por interfaces eletrônicas e inteligência cibernética (incluindo monitoramento de Deep Web e Dark Web).

Agora a rastreabilidade precisa ser capaz de reconstituir processamento fim a fim (do evento inicial ao processamento e retorno), com retenção definida e guarda segura, para suportar análise de falhas e identificação de comportamento atípico.

b) Pentest anual e com independência

Teste de intrusão (pentest) com periodicidade mínima anual, conduzido com independência e imparcialidade, e com documentação dos achados e plano de correção.

É necessário pentest anual, relatório consistente e evidência de que as correções foram tratadas e encerradas.

c) RSFN (Pix/STR)

A norma cria exigências específicas para a comunicação na RSFN com foco em Pix e STR: MFA para acesso administrativo, isolamento físico e lógico do ambiente, instância dedicada e apartada em nuvem quando aplicável, validação de integridade fim a fim antes da assinatura digital de mensagens e vedação de acesso de terceiros às chaves privadas usadas para assinatura.

Se o ambiente Pix roda em nuvem, passa a ser esperado que ele esteja em instância dedicada e apartada dos demais sistemas.

d) RSFN passa a ser “serviço relevante” na lógica de terceirização/nuvem

A comunicação eletrônica de dados na RSFN é tratada como serviço relevante para fins do regime de contratação de processamento/armazenamento/nuvem. A consequência prática é que terceirizações que antes eram tratadas como “operacionais” podem precisar ser reclassificadas como críticas, demandando diligência mais forte, cláusulas mais robustas e monitoramento mais ativo.

A terceirização do caminho da RSFN (conectividade, roteamento, processamento de mensagens) é considerada serviços relevantes. Ou seja, o contrato, a gestão de risco e os controles precisam ser compatíveis com esse nível de criticidade.

O que a norma passa a exigir das instituições

A Res. 5.274/2025 indica quatro exigências estruturantes:

1. Controles mínimos implementados e coerentes. Deve-se ter controle operante para cada domínio do rol mínimo.
2. Evidência e rastreabilidade. A rastreabilidade precisa reconstituir processamento fim a fim, com logs, retenção e guarda segura.
3. Vulnerabilidades e pentest como ciclo de gestão. Teste, achado, correção tempestiva, revalidação e registro.
4. Regras duras para RSFN/Pix/STR. MFA administrativo, isolamento, integridade pré-assinatura e governança rigorosa de chaves e certificados, com proibição de acesso de terceiros às chaves privadas de assinatura.

O que fazer na prática

A seguir, um roteiro direto, desenhado para ser executável por Tecnologia, Segurança, Risco e Jurídico/Compliance, sem inflar burocracia.

a) Diagnóstico e desenho

1. Gap assessment: comparar política e controles atuais com o rol mínimo exigido.
2. Mapa de sistemas críticos: identificar o que é “core” para pagamentos, onde há integrações sensíveis, e onde estão Pix/STR/RSFN quando aplicável.

b) Implementação de controles com evidência

1. Rastreabilidade fim a fim: definir logs, trilhas, retenção e guarda segura.
2. Vulnerability management: testes periódicos, varredura para dispositivos indevidos, SLA de correção e evidências de fechamento.
3. IAM/MFA: MFA para acesso externo, revisão periódica de acessos (com atenção especial a terceiros e acessos privilegiados).

c) Requisitos críticos para Pix/STR (se aplicável)

1. MFA administrativo e isolamento do ambiente Pix/STR (em nuvem: instância dedicada).
2. Integridade pré-assinatura: validações antes da assinatura digital das mensagens.
3. Chaves privadas: ajustar desenho e contratos para impedir acesso de terceiros às chaves usadas para assinatura.

d) Pentest anual e governança

1. Pentest anual: contratar fornecedor independente, padronizar relatório e garantir plano de correção com trilha de execução.
2. Governança: estruturar reporte e evidências de incidentes relevantes, testes, planos de ação e acompanhamento.

e) Contratos e terceiros

1. Reclassificar e ajustar contratos ligados à RSFN: verificar se há terceiros no caminho e tratar como serviço relevante, reforçando diligência, cláusulas e monitoramento.

Quando entra em vigor e qual o prazo para quem já opera

Embora a norma tenha vigência a partir da publicação, foi previsto um prazo de adequação para instituições em funcionamento até 1º de março de 2026.