Instrução Normativa BCB nº 449

Sumário Executivo

A Instrução Normativa BCB nº 449, de 12 de janeiro de 2024, tem por objeto divulgar a versão 3.6 do Manual de Segurança do Pix, documento que compõe o Regulamento do Pix na forma do art. 2º da Resolução BCB nº 1, de 12 de agosto de 2020. A norma foi editada pelo Chefe em exercício do Decem (Departamento de Competição e de Estrutura do Mercado Financeiro), com base nas atribuições conferidas pelos arts. 23, inciso I, alínea "a", e 94, inciso IX, do Regimento Interno do Banco Central do Brasil, anexo à Resolução BCB nº 340, de 21 de setembro de 2023. A norma teve vigência a partir de 1º de fevereiro de 2024 e foi publicada no DOU de 16/1/2024, Seção 1, p. 54. A versão 3.6 do Manual de Segurança do Pix representa a evolução contínua do arcabouço de segurança do Sistema de Pagamentos Instantâneos (SPI), que desde sua criação em 2020 tem passado por revisões periódicas para aprimorar a proteção de dados, certificados digitais e a infraestrutura como um todo. A Instrução Normativa BCB nº 449 revogou expressamente a Instrução Normativa BCB nº 323, de 16 de novembro de 2022, que até então disciplinava a versão anterior do Manual. O Manual de Segurança do Pix está disponível no endereço eletrônico https://www.bcb.gov.br/content/estabilidadefinanceira/cedsfn/Manual_de_Seguranca_PIX.pdf. A norma é de observância obrigatória para todas as instituições participantes do Pix, sejam elas bancos, instituições de pagamento, fintechs e demais entidades autorizadas pelo BCB a operar no ecossistema de pagamentos instantâneos.

Base Normativa

Norma: Instrução Normativa BCB nº 449, de 12 de janeiro de 2024 — Divulga a versão 3.6 do Manual de Segurança do Pix, que compõe o Regulamento do Pix.

Alterações: A Instrução Normativa BCB nº 449 revogou expressamente a Instrução Normativa BCB nº 323, de 16 de novembro de 2022. Posteriormente, foi por sua vez revogada pela Instrução Normativa BCB nº 633, de 5 de junho de 2025.

Motivação: A motivação regulatória reside no aprimoramento contínuo da segurança do Sistema de Pagamentos Instantâneos (Pix), que se tornou a principal infraestrutura de pagamentos instantâneos do Brasil. A versão 3.6 do Manual de Segurança do Pix foi editada para estabelecer prazos claros de adequação de certificados digitais, reforçar a obrigatoriedade de gestão de chaves criptográficas e padronizar boas práticas de segurança entre todos os participantes do ecossistema. No cenário macroeconômico, o fortalecimento da segurança do Pix é essencial para preservar a confiança do sistema financeiro nacional, garantir a integridade das transações instantâneas e mitigar riscos cibernéticos sistêmicos, alinhando-se às diretrizes de estabilidade financeira e proteção ao consumidor.

Adequação

O cronograma de adequação estabelecido pela Instrução Normativa BCB nº 449 é o seguinte: (1) Publicação: 12 de janeiro de 2024 — data de edição da norma; (2) Publicação no DOU: 16 de janeiro de 2024, Seção 1, p. 54; (3) Vigência: 1º de fevereiro de 2024 — data de entrada em vigor da norma, a partir da qual todos os participantes do Pix devem observar os requisitos da versão 3.6 do Manual de Segurança do Pix, incluindo o novo prazo regulamentar para atualização de certificados digitais previsto na seção 5.2; (4) Revogação: A Instrução Normativa BCB nº 449 foi revogada pela Instrução Normativa BCB nº 633, de 5 de junho de 2025, o que significa que, a partir dessa data, o arcabouço vigente passou a ser o definido na nova instrução. As instituições participantes do Pix devem monitorar continuamente as versões do Manual de Segurança do Pix e garantir a adequação de seus sistemas de gestão de certificados digitais e chaves criptográficas dentro dos prazos regulamentares estabelecidos em cada versão.

Impacto Operacional

A Instrução Normativa BCB nº 449 gera impacto operacional significativo para todas as instituições participantes do ecossistema Pix. Em primeiro lugar, a exigência de atualização de certificados digitais dentro de prazo regulamentar impõe custos de TI e de segurança da informação, incluindo a aquisição, renovação e gestão de certificados junto à autoridade certificadora. Em segundo lugar, o reforço na obrigatoriedade de guarda adequada de chaves criptográficas privadas exige revisão de políticas internas de cibersegurança, implementação de HSMs (Hardware Security Modules) ou soluções equivalentes, e treinamento de equipes técnicas. Em terceiro lugar, os ajustes nas seções sobre QR Codes dinâmicos, logs de auditoria e implementação segura de aplicativos e APIs demandam revisão de arquiteturas tecnológicas e processos de desenvolvimento. Processos que devem ser revisados incluem: gestão de certificados digitais (ativação, desativação, verificação de revogação), controles de acesso a chaves criptográficas, procedimentos de auditoria e monitoramento de logs, e validação de QR Codes. O não cumprimento pode resultar em impedimento de operacionalização no Pix, comprometendo a continuidade de negócio e a reputação institucional perante o BCB e o mercado.

Alterações de Layout

A Instrução Normativa BCB nº 449 divulga o Anexo correspondente ao Manual de Segurança do Pix, versão 3.6, que contempla alterações em suas seções técnicas. As principais mudanças na estrutura do documento incluem: (1) Inclusão da seção 5.2, que estabelece prazo regulamentar para atualização de certificados digitais; (2) Reforço nas seções 5.2 e 5.3, com ajustes de redação para enfatizar a obrigatoriedade da adequada guarda de chaves criptográficas privadas e de boas práticas de gestão de certificados e chaves; (3) Ajustes de redação para maior clareza em todo o documento. O Manual de Segurança do Pix versão 3.6 está disponível no endereço eletrônico: https://www.bcb.gov.br/content/estabilidadefinanceira/cedsfn/Manual_de_Seguranca_PIX.pdf. O histórico de revisão do Manual evidencia a evolução desde a versão 1.0 (16/1/2020) até a versão 3.6 (1/2/2024), com alterações em tabelas de domínios, dicionários de dados e protocolos de transmissão ao longo das versões anteriores, incluindo a seção 4 sobre Segurança de QR Codes dinâmicos, a seção 5 sobre Certificados digitais, a seção 6 sobre Logs de auditoria e a seção 6 sobre Implementação segura de aplicativos, APIs e outros sistemas. Não há menção explícita a códigos de CADOC (documentos regulatórios com numeração de 4 dígitos) no texto da norma fornecida. Portanto, não é possível identificar alterações diretas em CADOCs a partir do conteúdo apresentado.