---
titulo: "Instrução Normativa BCB nº 37"
tipo: "Instrução Normativa BCB"
numero: "37"
data_publicacao: 2020-10-29
situacao: revogada
revogada_por: "Instrução Normativa BCB nº 99"
fonte_oficial: "https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Instru%C3%A7%C3%A3o%20Normativa%20BCB&numero=37"
url: https://cadoc.ai/post/instrucao-normativa-bcb-37
mapa: https://cadoc.ai/mapa/instrucao-normativa-bcb-37
atualizado_em: 2026-09-13T04:47:13.195922Z
temas: [SPSAV, OpenFinance]
fonte: "cadoc.ai — análise de normas do Banco Central do Brasil"
---

# Instrução Normativa BCB nº 37, de 29/10/2020

**Em resumo:** A Instrução Normativa BCB nº 37, de 29/10/2020, divulga a versão 1.0 do Manual de Segurança do Open Banking. Foi revogada pela Instrução Normativa BCB nº 99.

> A Instrução Normativa BCB nº 37, de 29/10/2020, divulga a versão 1.0 do Manual de Segurança do Open Banking, estabelecendo requisitos mínimos obrigatórios de segurança para APIs e sistemas relacionados. O documento foi revogado pela Instrução Normativa BCB nº 99, de 14/04/2021, e serviu como marco fundacional para a operacionalização segura do Open Banking brasileiro, pautando-se nos pilares de governança, proteção, detecção e reação.

## Situação de vigência

**Revogada.** Norma revogada pela Instrução Normativa BCB nº 99.

Revogada por: [Instrução Normativa BCB nº 99](https://cadoc.ai/post/instrucao-normativa-bcb-99)

## Linha do tempo

- 29/10/2020 · Publicação
- sem data · Revogada por · [Instrução Normativa BCB nº 99](https://cadoc.ai/post/instrucao-normativa-bcb-99)

## Normas vinculadas

- [Instrução Normativa BCB nº 99](https://cadoc.ai/post/instrucao-normativa-bcb-99) · Revogou esta norma · 14/04/2021
- [Resolução BCB nº 32](https://cadoc.ai/post/resolucao-bcb-32) · 29/10/2020
- [Resolução CMN nº 4.658](https://cadoc.ai/post/resolucao-cmn-4658) · 26/04/2018

## Análise

### Sumário Executivo

A **Instrução Normativa BCB nº 37**, de 29 de outubro de 2020, tem por objeto divulgar a versão 1.0 do **Manual de Segurança do Open Banking**, documento de observância obrigatória por parte das instituições participantes do ecossistema Open Banking brasileiro. Editada pelos Chefes do Departamento de Regulação do Sistema Financeiro (**Denor**) e do Departamento de Tecnologia da Informação (**Deinf**), a norma fundamenta-se no art. 3º, inciso IV, da **Resolução BCB nº 32**, de 29 de outubro de 2020, e tem como finalidade estabelecer os requisitos técnicos mínimos de segurança para a implementação dos elementos necessários à operacionalização do Open Banking, em complemento à regulamentação vigente sobre o tema.

Impacto Sistêmico

ALTO

O impacto é classificado como ALTO porque a norma estabelece requisitos técnicos obrigatórios e abrangentes que afetam todas as instituições participantes do Open Banking, independentemente de seu segmento. A implementação dos pilares de segurança — governança, proteção, detecção e reação — demanda investimentos significativos em infraestrutura de TI, adequação de APIs, implantação de certificados digitais, configuração de firewalls e sistemas de auditoria, além de revisão completa de processos de segurança cibernética. A obrigatoriedade de conformidade com padrões como TLS 1.2+, PFS, hardening e autenticação multifator impõe mudanças estruturais em toda a cadeia do ecossistema financeiro.

### Base Normativa

**Norma:** Instrução Normativa BCB nº 37, de 29 de outubro de 2020 — Divulga a versão 1.0 do Manual de Segurança do Open Banking.

**Alterações:** A **Instrução Normativa BCB nº 37** foi revogada pela **Instrução Normativa BCB nº 99**, de 14 de abril de 2021. A norma não alterou diretamente outras normas anteriores, mas complementa e dá operacionalidade às seguintes normas vinculadas: **Resolução Conjunta CMN/BCB nº 1**, de 2020; **Resolução CMN nº 4.658**, de 2018; **Circular BCB nº 3.909**, de 2018; e **Resolução BCB nº 32**, de 2020.

**Motivação:** A motivação regulatória reside na necessidade de garantir a segurança do ecossistema **Open Banking** no Brasil, assegurando a proteção de dados, a integridade das comunicações e a resiliência cibernética das instituições participantes. No cenário macroeconômico e prudencial, a norma busca fortalecer a confiança do mercado e dos consumidores na interoperabilidade financeira, alinhando-se à **Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018)** e às diretrizes internacionais de segurança da informação, como as referências da **OWASP API Top 10**, **CWE Top 25** e **RFC 7525**.

[Acessar Regulamentação Original Instrução Normativa BCB n° 37](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Instru%C3%A7%C3%A3o%20Normativa%20BCB&numero=37)

### Adequação

A **Instrução Normativa BCB nº 37** entrou em vigor na data de sua publicação, conforme o Art. 2º, ou seja, em **29 de outubro de 2020**. A norma foi publicada no **DOU** em 13 de novembro de 2020, Seção 1, páginas 57/58. O prazo de adequação era imediato a partir da vigência, sendo que todas as instituições participantes do Open Banking deveriam implementar os requisitos do Manual de Segurança versã 1.0 desde a entrada em vigor. A norma foi **revogada em 14 de abril de 2021** pela **Instrução Normativa BCB nº 99**, o que significa que as instituições tiveram um período de aproximadamente 5 meses e meio (de 29/10/2020 a 14/04/2021) para adequação à versão 1.0 do Manual, antes de sua substituição por normativa posterior. Após a revogação, as instituições deveriam migrar para a nova versão vigente do Manual de Segurança do Open Banking.

### Impacto Operacional

A norma gera impacto operacional significativo para todas as instituições participantes do Open Banking, exigindo: (1) revisão e adequação da infraestrutura de **APIs** para atender aos padrões de segurança de **TLS 1.2+** com **PFS**; (2) implementação ou reforço de firewalls, **ACLs** e grupos de segurança para controle de tráfego; (3) configuração de redes segregadas logicamente; (4) estabelecimento de trilhas de auditoria completas e monitoramento contínuo; (5) sincronização de relógios com fontes **NTP** confiáveis; (6) adoção de práticas de **hardening** em servidores e sistemas; (7) cadastramento e gestão de dados no **Diretório de Participantes**, incluindo chaves **PGP** e contatos de segurança conforme **RFC 2142**; (8) implementação de autenticação multifator para acesso às áreas restritas do diretório; (9) capacitação de equipes técnicas e de segurança da informação; e (10) criação ou atualização de **Políticas de Segurança Cibernética** institucionais para compatibilizar com os bloqueios de acesso facultativos previstos na norma. O custo envolve investimentos em tecnologia, pessoal especializado, processos de governança e auditoria contínua de conformidade.

### Alterações de Layout

A norma estabelece requisitos técnicos que impactam diretamente o desenvolvimento e a sustentação de sistemas, incluindo: (1) obrigatoriedade de acesso exclusivo por meio de **APIs** com protocolo **TLS 1.2 ou superior** e cifras com **Perfect Forward Secrecy (PFS)**; (2) desabilitação de **TLS Session Resumption** e **TLS Renegotiation**; (3) implementação de controles de tráfego via firewalls, **ACLs** e grupos de segurança; (4) segregação lógica de redes internas; (5) exigência de trilhas de auditoria contendo endereço IP de origem, porta TCP de origem, data, hora, sistema, usuário, objeto e status de sucesso/falha; (6) sincronização de relógios via protocolo **NTP**; (7) adoção de padrões de **hardening**; (8) no Diretório, autenticação multifator obrigatória, cadastro de chaves **PGP**, conformidade com **RFC 2142** para contatos de segurança, e registro de auditoria de acessos com data/hora em timezone **UTC**, URI acessada, método HTTP e status de retorno. Não há menção explícita a qualquer **CADOC** (código numérico de 4 dígitos) no texto fornecido. Não há menção a alteração direta de CADOC especificada no texto.

## Fonte e citação

- Texto oficial: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Instru%C3%A7%C3%A3o%20Normativa%20BCB&numero=37
- Análise: https://cadoc.ai/post/instrucao-normativa-bcb-37
- Mapa de revogações, alterações e vínculos: https://cadoc.ai/mapa/instrucao-normativa-bcb-37

Como citar: Cadoc AI. Instrução Normativa BCB nº 37: análise. Disponível em https://cadoc.ai/post/instrucao-normativa-bcb-37.