Norma
01/04/2026

Instrução Normativa BCB N° 718

Estabelece procedimentos e documentos para credenciamento, descredenciamento e prestação de informações de Provedores de Serviços de Tecnologia da Informação ao Banco Central.

Resumo

A IN BCB 718/2026 operacionaliza pedidos e comunicações de PSTI perante o Banco Central.

📌 Organiza dossiês de credenciamento e descredenciamento.

⏱️ Define prazos por evento para administradores e controle societário.

🧾 Exige evidências técnicas, governança, seguro, testes, contratos e protocolos ao Deorf.

Resumo executivo

A Instrução Normativa BCB nº 718/2026 divulga procedimentos, documentos, prazos e informações para instruir pedidos relacionados ao credenciamento e ao descredenciamento de Provedor de Serviços de Tecnologia da Informação - PSTI, além de disciplinar comunicações ao Banco Central do Brasil sobre administradores e controle societário. O documento tem natureza operacional: não cria um regime substantivo isolado, mas transforma o regime de credenciamento previsto na Resolução BCB nº 498/2025 em dossiês, modelos, canais, prazos e evidências que o PSTI deve organizar para interagir com o regulador.

A curadoria tratou a norma como ato autônomo procedimental. Os requisitos extraídos foram concentrados nos fluxos controláveis: protocolo de credenciamento, obtenção de declarações e autorizações, apresentação de evidências técnicas e de governança, contratação e comprovação de seguro, protocolo de descredenciamento e comunicações de eventos de administração e controle. O art. 2º contém o bloco mais denso, com documentos societários, cadastrais, técnicos, de segurança, continuidade, auditoria, seguro, governança, políticas, testes e contratos relevantes.

Escopo e sujeitos regulados

O sujeito regulado direto é o PSTI, especialmente aquele que busca credenciamento, está credenciado ou precisa prestar informações ao Banco Central. O documento também alcança, de forma instrumental, controladores e administradores designados, pois exige declarações, autorizações e formulários assinados por essas pessoas ou entidades. A obrigação operacional, contudo, foi modelada como responsabilidade do PSTI, que deve montar e protocolizar dossiês completos.

Como o dicionário de segmentação fornecido não contém tag específica para PSTI, os requisitos foram segmentados com tag setorial financeira ampla. Essa escolha amplia o roteamento e deve ser refinada pela plataforma quando houver tag granular para Provedor de Serviços de Tecnologia da Informação. A aplicabilidade real não decorre de qualquer atuação no setor financeiro: depende do enquadramento como PSTI no contexto da Resolução BCB nº 498/2025 e da relação com serviços de processamento de dados para fins de acesso à RSFN.

Principais comandos operacionais

O credenciamento exige protocolo no Banco Central, via Protocolo Digital, direcionado ao Deorf, acompanhado de ampla documentação. O pacote regulatório inclui requerimento, designação de administradores, declarações de controladores e administradores, autorizações para acesso e tratamento de informações, declarações do próprio PSTI, documentos sobre controle e acordos societários, demonstrações financeiras auditadas, formulários cadastrais, plano de negócios, termo de adesão à RSFN, comprovação de capacidade técnico-operacional, certificação de segurança da informação, contrato com auditoria independente, seguro, organograma, plano de saída, políticas e planos aprovados, testes de continuidade, relatórios de testes de intrusão e contratos com prestadores relevantes.

O seguro recebeu requisito próprio porque o art. 3º define coberturas mínimas e exige documentação complementar. Além da comprovação do seguro, o PSTI deve apresentar premissas técnicas, metodologia de dimensionamento de limites e memória de cálculo detalhada que fundamentam o valor da apólice. Esse ponto tem impacto relevante para riscos, contratos, financeiro e compliance, pois a suficiência do seguro precisa ser demonstrável, não apenas contratada.

O descredenciamento também é tratado como fluxo regulatório próprio. O pedido deve ser protocolizado ao Deorf e acompanhado de requerimento, declaração de conclusão do plano de saída ordenada, declaração de encerramento dos serviços de processamento de dados para acesso à RSFN e demais instituições supervisionadas, desativação da conexão à RSFN, cancelamento dos serviços de suporte e conectividade e declaração de responsabilidade. O requisito foi classificado como crítico porque envolve encerramento ordenado de serviço tecnológico relevante e continuidade de instituições contratantes.

Prazos e gatilhos

A norma traz três gatilhos empresariais com prazo expresso. A designação de administradores deve ser comunicada em até dez dias da ocorrência. O desligamento de administradores deve ser comunicado em até três dias úteis contados do evento. A transferência ou alteração de controle societário de PSTI organizado como sociedade anônima ou sociedade limitada deve ser comunicada em até quinze dias da ocorrência. Esses prazos foram tratados como entregáveis por evento, não como recorrências, porque dependem de acontecimentos societários ou de governança.

Não foram criadas séries de recorrência, pois a Instrução Normativa não estabelece obrigação periódica compatível com RRULE. Mesmo quando menciona avaliações anuais por auditoria independente, a exigência extraída aqui é a apresentação do contrato e dos procedimentos de fornecimento dos relatórios no contexto do credenciamento; a eventual recorrência substantiva decorre do regime de base e deve ser tratada na norma própria quando processada.

Evidências, controles e áreas envolvidas

Os principais controles sugeridos são checklists de completude documental, matriz de evidências técnicas, validação de assinaturas e modelos, controle de prazos por evento societário e revisão da suficiência do seguro. As evidências centrais são o dossiê de credenciamento, declarações e autorizações assinadas, plano de negócios, termo de adesão à RSFN, certificação de segurança, contrato com auditoria independente, apólice, memória de cálculo do seguro, organograma, plano de saída, políticas aprovadas, registros de testes de continuidade e intrusão, contratos com prestadores relevantes e comprovantes de protocolo.

As áreas internas mais impactadas tendem a ser compliance, jurídico-regulatório, tecnologia e segurança da informação, riscos e controles, operações/backoffice, contratos e alta administração. A participação de cada área varia por requisito. Compliance e jurídico tendem a coordenar protocolos, prazos e modelos. Tecnologia e riscos sustentam as evidências de capacidade, segurança, continuidade e testes. Diretoria e governança participam da aprovação de políticas, planos e estrutura de governança.

Pontos de atenção

A norma é altamente dependente dos anexos, que trazem modelos e conteúdo esperado para requerimentos, declarações, formulários e comunicações. A curadoria agrupou documentos de mesma natureza quando todos integram o mesmo dossiê ou processo, mas separou requisitos quando havia diferença operacional relevante, como seguro, descredenciamento e comunicações de administradores ou controle.

O parágrafo único do art. 2º foi registrado como ponto documental, mas não como requisito autônomo. Ele descreve poderes do Banco Central durante a análise, como exigir documentos, convocar reuniões, realizar testes ou visitas técnicas. Para o PSTI, isso gera necessidade de prontidão e rastreabilidade, mas não um entregável inicial específico além da capacidade de responder a exigências.

A vigência foi tratada como iniciada na data de publicação indicada no texto consultado. Não foram utilizadas normas posteriores para alterar status, revogar ou consolidar obrigações. O pacote é um retrato-fonte da Instrução Normativa BCB nº 718/2026, conforme a orientação de manter cada documento como unidade própria de curadoria.