Estabelece prazos para provedores de serviços de TI adaptarem-se às regras de segurança da informação e gestão de fraudes da Resolução BCB 498.
A IN BCB 664/2025 fixou prazos transitórios para PSTIs já em funcionamento se adequarem a regras de segurança da informação e gestão de fraudes.
📌 Traz prazos de 15 e 30 dias para implantação de controles críticos.
🧾 Exige relatório de asseguração razoável por auditoria independente registrada na CVM.
⚠️ Os prazos já se encerraram, mas as evidências históricas de implementação e protocolo continuam essenciais.
A Instrução Normativa BCB nº 664/2025 é um ato curto, mas operacionalmente intenso. Ela foi editada para criar uma janela de adequação imediata para Provedores de Serviços de Tecnologia da Informação (PSTI) que já estavam em funcionamento na data de entrada em vigor da Resolução BCB nº 498/2025. O documento não cria um regime completo e autônomo de credenciamento de PSTI; seu papel é fixar prazos e procedimentos para que esses prestadores se ajustem a blocos específicos da política de segurança da informação e da política de gestão de fraudes previstas na Resolução BCB nº 498/2025.
O pacote foi tratado como retrato-fonte da própria Instrução Normativa. Por isso, os requisitos extraídos correspondem aos prazos, entregas e procedimentos que nascem diretamente da IN 664/2025. Os conteúdos materiais da Resolução BCB nº 498/2025 foram usados como referência citada, mas não foram reextraídos integralmente neste pacote. Essa separação é importante para evitar duplicação indevida: a Resolução BCB nº 498/2025 deve ter pacote próprio se o objetivo for cadastrar todo o regime de credenciamento, governança, segurança, fraudes, continuidade e supervisão de PSTI.
Como a Instrução Normativa entrou em vigor na data de publicação no DOU, em 15/09/2025, os prazos de 15 e 30 dias indicados no texto já estão encerrados na data de geração deste pacote. Os requisitos foram, portanto, marcados como itens históricos ou transitórios encerrados. Isso não elimina sua utilidade: eles continuam importantes para auditoria, comprovação de adequação, verificação de evidências e entendimento de eventuais questionamentos sobre o período inicial de conformidade.
O sujeito regulado direto é o PSTI em funcionamento na data da entrada em vigor da Resolução BCB nº 498/2025. A norma não alcança genericamente todas as instituições financeiras, todas as instituições de pagamento ou todos os prestadores de tecnologia. A aplicabilidade depende do enquadramento como Provedor de Serviços de Tecnologia da Informação dentro do contexto da Resolução BCB nº 498/2025 e da condição específica de já estar em funcionamento no marco temporal indicado.
A segmentação do pacote usa a tag setorial financeira como aproximação ampla porque o dicionário disponível não contém uma tag granular específica para PSTI. Essa é uma limitação material de roteamento: empresas financeiras que não sejam PSTI não deveriam receber esses requisitos como aplicáveis apenas por atuarem no setor financeiro. Em uso de produto, recomenda-se que o contexto do cliente tenha um atributo adicional de enquadramento como PSTI ou que a plataforma evolua o dicionário com tag específica para esse tipo de prestador.
A norma também tem forte relação com o Sistema Financeiro Nacional, o Sistema de Pagamentos Brasileiro, a RSFN, ambientes Pix e STR, mas o gatilho de aplicabilidade segue sendo o enquadramento como PSTI alcançado pela Resolução BCB nº 498/2025. Produtos ou sistemas citados no texto ajudam a entender o risco e os controles, mas não substituem o sujeito regulado.
O primeiro bloco operacional está no art. 2º e trata dos aspectos da política de segurança da informação que deveriam ser implementados em até 15 dias. A curadoria separou esse bloco em cinco requisitos porque cada inciso exige processo, evidência e controle próprios.
O primeiro requisito é a rastreabilidade de transações. Ele envolve trilhas de auditoria do processamento fim-a-fim, logs para identificar falhas ou comportamentos atípicos, definição do tempo de retenção, retenção segura e acesso das instituições usuárias às trilhas para conciliação ou gestão de riscos. Esse ponto tende a exigir arquitetura de logging, matriz de retenção, governança de acesso às trilhas e capacidade de consulta estruturada.
O segundo requisito é o controle de acesso. Ele cobre limitação de acesso à rede corporativa a usuários e dispositivos autorizados, revisão periódica e tempestiva de permissões, atenção a terceirizados e múltiplos fatores de autenticação para acesso externo à rede corporativa e acesso administrativo aos ambientes Pix e STR. O objeto prático é gestão de identidade, acessos privilegiados, dispositivos autorizados e autenticação forte.
O terceiro requisito é a gestão de certificados digitais. O PSTI deveria monitorar o uso de certificados, manter controles para guarda dessas informações e validar certificados revogados junto às autoridades certificadoras. Esse item é relevante para credenciais críticas, comunicação segura, assinatura e confiança operacional nos ambientes processados.
O quarto requisito é a inteligência cibernética. A norma menciona monitoramento de informações de interesse, como clientes, chaves, credenciais e vulnerabilidades, na Internet, Deep Web, Dark Web e grupos privados de comunicação. Esse comando pede capacidade de detecção antecipada de exposição, vazamento ou risco cibernético antes que se transforme em incidente operacional.
O quinto requisito é a proteção da rede. Ele inclui regras de firewall, monitoramento de conexões, critérios para conexões com ambientes externos, prevenção de conexões indevidas e processos e ferramentas para identificar, analisar e tratar eventos atípicos, inclusive abertura de VPNs e tentativas de acesso privilegiado em horários noturnos ou não convencionais.
O parágrafo único do art. 2º cria um sexto requisito: os demais aspectos da política de segurança da informação previstos no art. 17 da Resolução BCB nº 498/2025 deveriam ser implementados em até 30 dias. A curadoria não transformou esse requisito residual em uma cópia do art. 17 da Resolução. Ele foi preservado como obrigação de prazo para completar a política de segurança da informação no contexto da IN 664/2025.
O art. 3º criou prazo de 30 dias para implementação da política de gestão de fraudes prevista nos arts. 24 e 25 da Resolução BCB nº 498/2025. Também aqui, o pacote não reextraiu os arts. 24 e 25; registrou a obrigação transitória de implementação integral da política de gestão de fraudes dentro do prazo da Instrução Normativa.
O art. 4º criou a entrega regulatória central: relatório de asseguração razoável elaborado por firma de auditoria independente registrada na CVM, atestando atendimento integral aos procedimentos, requisitos e prazos da IN 664/2025. O relatório é parte integrante das medidas dos arts. 2º e 3º e deve ser enviado ao Banco Central em até 15 dias após a implementação das medidas. O § 1º exige idoneidade e capacidade técnica da firma e dos responsáveis técnicos. Esses pontos foram consolidados em um único requisito porque compõem o mesmo processo de contratação, elaboração e envio do relatório.
O art. 5º criou procedimento específico de protocolo. Ao protocolizar documentos requeridos pela Instrução Normativa, as instituições devem selecionar no Protocolo Digital do Banco Central o assunto “Documentos diversos - PSTI” para destinação ao Deinf. Esse comando foi extraído como requisito próprio, porque erro de assunto ou destinação pode prejudicar a comprovação de envio.
O art. 6º foi mantido como ponto de documento, mas não virou requisito autônomo. Ele informa que o descumprimento dos prazos pode sujeitar o PSTI às medidas cautelares previstas na Resolução BCB nº 498/2025. A ação empresarial verificável continua sendo cumprir prazos, implementar medidas e enviar documentos; o art. 6º funciona como consequência regulatória.
A norma exige coordenação rápida entre tecnologia, segurança cibernética, riscos, compliance, jurídico regulatório, operações e suprimentos ou contratos. A área de tecnologia tende a executar a maior parte dos controles técnicos: logs, MFA, firewall, certificados, monitoramento, tratamento de eventos atípicos e inteligência cibernética. Compliance e riscos tendem a coordenar matriz de adequação, evidências, relatório de asseguração, interação com auditoria e protocolo junto ao Banco Central.
A principal preocupação de compliance é demonstrar integralidade e tempestividade. Como os prazos são curtos e já encerrados, uma revisão posterior deve perguntar se o PSTI possui evidências datadas, responsáveis, trilhas de aprovação, documentação técnica e protocolo regulatório que comprovem a adequação dentro dos marcos normativos. A simples existência atual de controles pode não ser suficiente para comprovar cumprimento histórico do prazo.
Outro impacto relevante é a dependência de terceiro independente. O relatório de asseguração razoável precisa ser elaborado por auditoria independente registrada na CVM, com idoneidade e capacidade técnica. Portanto, não basta produzir um relatório interno. O PSTI deve demonstrar contratação qualificada, escopo adequado, cobertura integral dos arts. 2º e 3º e envio no prazo de 15 dias após a implementação das medidas.
Para rastreabilidade de transações, as evidências mais importantes são inventário de logs, trilhas de auditoria fim-a-fim, matriz de retenção, registros de retenção segura e evidência de acesso pelas instituições usuárias quando necessário para conciliação ou gestão de riscos.
Para controle de acesso, as evidências incluem relação de usuários e dispositivos autorizados, políticas de acesso, registros de revisão de permissões, foco em terceirizados, configurações de autenticação multifator e logs de autenticação em ambientes externos, Pix e STR.
Para certificados digitais, o pacote sugere inventário de certificados, registros de uso, controles de guarda, evidências de validação de revogação e registros de tratamento de inconsistências. A governança de certificados deve ser demonstrável e não apenas declaratória.
Para inteligência cibernética, são relevantes relatórios de monitoramento, escopo das fontes monitoradas, alertas identificados, triagem, registros de tratamento e conexão com processos de resposta a incidentes ou gestão de vulnerabilidades.
Para proteção de rede, a empresa deve preservar regras de firewall, critérios de conexão externa, logs, alertas, tickets de eventos atípicos, registros de VPN, tentativas de acesso privilegiado e evidências de tratamento em horários noturnos ou não convencionais.
Para o relatório de asseguração, a evidência central é o próprio relatório assinado, acompanhado de comprovação de registro CVM da firma de auditoria, documentação sobre idoneidade e capacidade técnica dos responsáveis, matriz de cobertura dos requisitos da Instrução Normativa e comprovante de envio ao Banco Central pelo canal e assunto corretos.
O primeiro ponto de atenção é a natureza transitória. Os requisitos foram marcados como encerrados porque os prazos expressos da própria norma já passaram. Isso deve ser interpretado como encerramento do prazo de implementação inicial, não como irrelevância do controle na operação atual. Muitos controles técnicos continuam essenciais por força da Resolução BCB nº 498/2025, mas a obrigação viva material deve ser tratada no pacote da Resolução, não neste retrato-fonte.
O segundo ponto de atenção é a segmentação. Como não existe tag específica para PSTI no dicionário fornecido, a segmentação usa recorte financeiro amplo. Isso pode gerar falso positivo se a plataforma não tiver atributo complementar. O uso correto do pacote exige filtro contextual de enquadramento como PSTI em funcionamento no marco indicado.
O terceiro ponto de atenção é a granularidade. A curadoria optou por separar os cinco incisos do art. 2º porque cada um tem objeto técnico, evidência e controle distintos. Em workflows de compliance, isso facilita atribuição a squads ou responsáveis diferentes, teste de evidências específico e abertura de achados direcionados.
O quarto ponto de atenção é o relatório de asseguração. Ele é o elo entre a adequação técnica e a comprovação regulatória. Mesmo que os controles tenham sido implementados, a ausência de relatório, escopo incompleto, auditoria não registrada na CVM ou protocolo intempestivo podem gerar fragilidade material de conformidade.
O quinto ponto de atenção é a regra do Protocolo Digital. O art. 5º parece simples, mas é operacionalmente relevante: o assunto “Documentos diversos - PSTI” e a destinação ao Deinf devem aparecer no comprovante de protocolo para reduzir risco de erro de encaminhamento.
O art. 1º foi tratado como escopo e não como requisito isolado, porque delimita a finalidade e o sujeito alcançado. O art. 6º foi tratado como ponto de consequência regulatória, sem requisito próprio, porque não cria uma conduta empresarial diferente das obrigações já extraídas. O art. 7º foi tratado como definição de vigência, usada para cálculo dos prazos.
Os arts. 2º, 3º, 4º e 5º foram convertidos em requisitos porque trazem comandos verificáveis: implementação de controles, política de fraudes, relatório ao regulador e procedimento de protocolo. O § 1º e o § 2º do art. 4º foram absorvidos no requisito de relatório por pertencerem ao mesmo fluxo operacional.
O pacote não contém alteraçõesRequisitos porque a IN 664/2025, no retrato-fonte extraído, não altera, revoga ou dá nova redação a outro ato. Ela cita a Resolução BCB nº 498/2025 e fixa prazos para adequação a dispositivos dessa Resolução, mas não substitui texto normativo nem altera diretamente requisitos previamente cadastrados no pacote desta extração.
Temas
Nenhum item vinculado a este artefato.
