Instrução Normativa BCB N° 664

​​INSTRUÇÃO NORMATIVA BCB Nº 664, DE 11 DE ​SETEMBRO DE 2025

Estabelece prazos para o Provedor de Serviços de Tecnologia da Informação – PSTI, em funcionamento na data da entrada em vigor da Resolução BCB nº 498, de 5 de setembro de 2025, promover as adaptações necessárias com vistas a sua adequação às regras sobre política de segurança da informação e sobre política de gestão de fraudes estabelecidas na referida Resolução.

O Chefe do Departamento de Tecnologia da Informação (Deinf), no uso da sua atribuição, tendo em vista o disposto no art. 71, inciso V, do Regimento Interno do Banco Central do Brasil, anexo à Resolução BCB nº 340, de 21 de setembro de 2023, e considerando o disposto na Resolução BCB nº 498, de 5 de setembro de 2025,

R E S O L V E:

Art. 1º  Esta Instrução Normativa estabelece prazos para o Provedor de Serviços de Tecnologia da Informação – PSTI, em funcionamento na data da entrada em vigor da Resolução BCB nº 498, de 5 de setembro de 2025, promover as adaptações necessárias com vistas a sua adequação às regras sobre política de segurança da informação e sobre política de gestão de fraudes estabelecidas na referida Resolução.

Art. 2º  O PSTI de que trata o art. 1º deverá, em até 15 (quinze) dias, contados da entrada em vigor desta Instrução Normativa, implementar os seguintes aspectos da política de segurança da informação previstos no art. 17 da Resolução BCB nº 498, de 2025:

I - adoção de mecanismos de rastreabilidade de transações contemplando, no mínimo:

a) trilhas de auditoria do processamento fim-a-fim dos dados e das informações, incluindo a definição e a geração de logs que possibilitem identificar falhas de processamento ou comportamento atípicos, bem como subsidiar análises;

b) definição de tempo de retenção de informações de acordo com o tipo de processamento realizado;

c) retenção segura das trilhas de auditoria; e

d) acesso às trilhas de auditoria pelas instituições que utilizam os serviços providos pelo PSTI, para fins de conciliação ou gestão de riscos;

II - adoção de controle de acesso, incluindo, ao menos:

a) mecanismos para limitar o acesso à rede corporativa a usuários e dispositivos autorizados;

b) a revisão periódica e tempestiva das permissões de acesso, em especial, de colaboradores terceirizados com acesso ao ambiente computacional da instituição;

c) o estabelecimento de múltiplos fatores de autenticação para acesso à rede corporativa a partir de ambientes externos; e

d) uso de múltiplos fatores de autenticação para o acesso administrativo aos ambientes Pix e STR;

III - gestão de certificados digitais, executando, no mínimo:

a) o monitoramento do uso de certificados digitais e controles para a guarda dessas informações; e

b) a validação de certificados revogados junto às autoridades certificadoras;

IV - promoção de ações de inteligência cibernética, incluindo o monitoramento de informações de interesse (clientes, chaves, credenciais, vulnerabilidades etc.) na Internet, Deep e Dark Web, além de grupos privados de comunicação;

V - adoção de mecanismos de proteção da rede, que devem contemplar, no mínimo:

a) o estabelecimento de regras de firewall, assim como o monitoramento de conexões, evitando-se tentativas de conexão com sistemas críticos provenientes de ativos de tecnologia localizados fora da rede corporativa da instituição;

b) a definição de critérios para o estabelecimento e o monitoramento de conexões com ambientes externos, em especial em horário noturno ou não convencional;

c) mecanismos para identificar e prevenir conexões indevidas com ambientes externos a partir do ambiente computacional do PSTI; e

d) a implementação e a manutenção de processos e ferramentas para identificação, análise e tratamento de eventos atípicos no ambiente do PSTI, a exemplo da abertura de virtual private networks – VPN e de tentativas de acesso privilegiado, especialmente em horário noturno ou não convencional, assim como avaliação da implantação de controles mais robustos que mitiguem riscos de acessos indevidos nessas ocasiões.

Parágrafo único.  Os aspectos da política de segurança da informação previstos no art. 17 da Resolução BCB nº 498, de 2025, e não referidos no caput deverão ser implementados em até 30 (trinta) dias, contados da entrada em vigor desta Instrução Normativa.

Art. 3º  O PSTI de que trata o art. 1º deve implementar, em até 30 (trinta dias), contados da entrada em vigor desta Instrução Normativa, a política de gestão de fraudes de que tratam os arts. 24 e 25 da Resolução BCB nº 498, de 2025.

Art. 4º  O PSTI de que trata o art. 1º deve encaminhar relatório de asseguração razoável elaborado por firma de auditoria independente devidamente registrada na Comissão de Valores Mobiliários - CVM, atestando o atendimento integral, pelo PSTI, de todos os procedimentos, requisitos e prazos previstos nesta Instrução Normativa.

§1º  A firma de auditoria independente a ser contratada e os responsáveis técnicos pela elaboração do relatório deverão possuir reconhecida idoneidade e capacidade técnica.

§ 2º  O relatório de que trata o caput é parte integrante das medidas previstas nos arts. 2º e  3º, e deve ser enviado ao Banco Central do Brasil em até 15 (quinze) dias após a implementação das medidas previstas nesta Instrução Normativa.

Art. 5º  Ao protocolizar os documentos requeridos nesta Instrução Normativa, as instituições deverão selecionar, no Protocolo Digital do Banco Central do Brasil, o assunto “Documentos diversos – PSTI” para destinação ao Deinf.

Art. 6º  O descumprimento dos prazos fixados nesta Instrução Normativa poderá sujeitar o PSTI à aplicação das medidas cautelares previstas no art. 32 da Resolução BCB nº 498, de 2025.

Art. 7º  Esta Instrução Normativa entra em vigor na data de sua publicação.

Caio Moreira Fernandes

Nota:

A Instrução Normativa proposta tem por objetivo estabelecer prazos para que os Provedores de Serviços de Tecnologia da Informação (PSTI), já em operação na data de entrada em vigor da Resolução BCB nº 498, de 5 de setembro de 2025, promovam as adaptações necessárias à sua conformidade com os requisitos regulatórios estabelecidos pelo Banco Central do Brasil.

A Resolução BCB nº 498/2025 disciplina, no âmbito do Sistema Financeiro Nacional (SFN) e do Sistema de Pagamentos Brasileiro (SPB), os requisitos, procedimentos e condições para o credenciamento de PSTIs, com foco em segurança da informação, segurança cibernética, gestão de riscos e governança. A Instrução Normativa ora proposta regulamenta os artigos 19 e 27 da referida Resolução, detalhando prazos e medidas técnicas obrigatórias, como rastreabilidade de transações, controle de acesso, gestão de certificados digitais e ações de inteligência cibernética.

Nos termos do art. 4º, inciso V, alíneas “b” e “c” do Decreto nº 10.411, de 30 de junho de 2020, que regulamenta a Lei nº 13.874, de 20 de setembro de 2019 (Lei da Liberdade Econômica), a elaboração de Análise de Impacto Regulatório (AIR) pode ser dispensada quando o ato normativo tiver por finalidade preservar a liquidez, a solvência ou a higidez do mercado financeiro e do sistema de pagamentos. A presente norma enquadra-se nessa hipótese, uma vez que visa resguardar a integridade e a confiança na RSFN e nos arranjos de pagamento por ela suportados, prevenindo riscos operacionais, fraudes e vulnerabilidades.