Sumário Executivo

A Instrução Normativa BCB nº 633, de 5 de junho de 2025, publicada no DOU em 9 de junho de 2025, divulga a versão 3.7 do Manual de Segurança do Pix, documento que compõe o Regulamento do Pix e detalha controles de segurança para o ecossistema de pagamentos instantâneos. O ato é editado com base no Regulamento anexo à Resolução BCB nº 1, de 12 de agosto de 2020 e na estrutura normativa do BCB.

A atualização não cria uma nova instituição reguladora nem altera diretamente enquadramento prudencial; seu efeito principal é operacional e tecnológico. A versão 3.7 reforça requisitos para Pix por aproximação, ajusta a gestão de certificados digitais, passa a prever desativação de certificados de forma programada ou decorrente de incidente de segurança, exige o algoritmo Token Bucket para consultas à base interna de chaves e amplia controles de dados de auditoria, incluindo registros de APIs.

Para fins de conformidade, a norma revoga a Instrução Normativa BCB nº 449, de 12 de janeiro de 2024, e entra em vigor na data de publicação, sem prazo transitório expresso no texto. Assim, participantes do Pix, instituições autorizadas a funcionar pelo BCB e demais entidades com operações no ecossistema devem mapear rapidamente os impactos em segurança da informação, governança de chaves, resposta a incidentes, auditoria e sustentação de sistemas.

A motivação regulatória é manter a segurança do Pix compatível com sua relevância no Sistema de Pagamentos Brasileiro, reduzindo riscos de fraude, indisponibilidade, uso indevido de chaves e falhas de rastreabilidade. A nota do ato também esclarece que, embora o Decreto nº 10.411, de 30 de junho de 2020 preveja análise de impacto regulatório, modificações no Regulamento do Pix não são tratadas como ato regulatório de força cogente.

Impacto Sistêmico

MÉDIO

O impacto é MÉDIO no conjunto do mercado, pois a norma é direcionada principalmente a participantes do Pix e exige ajustes em controles de segurança, certificados, registros e APIs. Pode ser ALTO para instituições que operam Pix por aproximação, mantêm base interna de chaves ou dependem fortemente de APIs e resposta a incidentes, mas não impõe, no texto, novas regras de capital, provisões ou obrigações contábeis para todo o sistema financeiro.

Base Normativa

Norma: Instrução Normativa BCB nº 633, de 5 de junho de 2025, que divulga a versão 3.7 do Manual de Segurança do Pix, componente do Regulamento do Pix.

Alterações: A norma revoga a Instrução Normativa BCB nº 449, de 12 de janeiro de 2024. Não há menção a alteração direta de CADOC especificada no texto. As demais atualizações são internas ao Manual de Segurança do Pix, na passagem da versão 3.6 para a versão 3.7.

Motivação: A motivação regulatória, inferida do teor do ato e do histórico de revisão, é fortalecer a segurança do Pix diante da ampliação de seus usos e da maior complexidade técnica do ecossistema. O ajuste responde a riscos prudenciais e operacionais relacionados a pagamentos instantâneos, como incidentes de segurança, gestão inadequada de certificados, consultas não controladas à base interna de chaves e ausência de rastreabilidade suficiente por meio de registros de auditoria.

Acessar Regulamentação Original

Instrução Normativa BCB n° 633

Adequação

O marco principal é a publicação da Instrução Normativa BCB nº 633, de 5 de junho de 2025, com publicação no DOU em 9 de junho de 2025. Como o art. 3º prevê entrada em vigor na data de publicação, a adequação deve ser tratada como imediata, sem prazo dilatório expresso no texto.

Para o cronograma de Compliance, recomenda-se: imediatamente, identificar participantes do Pix impactados e nomear responsáveis por segurança, tecnologia, auditoria e incidentes; em seguida, mapear requisitos da versão 3.7 do Manual de Segurança do Pix; atualizar procedimentos de emissão, manutenção e desativação de certificados digitais; validar controles de Pix por aproximação, se aplicável; implementar ou ajustar o uso do algoritmo Token Bucket nas consultas à base interna de chaves; e revisar políticas de retenção de registros de auditoria e de APIs.

Os prazos de retenção de dados de auditoria são mencionados como obrigatórios, mas não detalhados no trecho fornecido; portanto, devem ser conferidos no Manual de Segurança do Pix disponível no BCB. Não há prazo específico separado para bancos, instituições de pagamento, administradores de Pix ou demais participantes; a obrigação é imediata para quem atua no ecossistema.

Impacto Operacional

A norma gera trabalho de conformidade e tecnologia porque transforma melhorias de segurança em requisitos obrigatórios para participantes do Pix. As instituições devem revisar processos de governança de segurança, gestão de certificados digitais, resposta a incidentes de segurança, controle de acesso à base interna de chaves, monitoramento de consultas, retenção de registros de auditoria e visibilidade sobre APIs.

Os principais custos tendem a envolver ajustes de sistemas, testes de homologação, atualização de documentação técnica, treinamento de equipes, expansão ou adequação de repositórios de registros, ferramentas de monitoramento e procedimentos de desativação programada ou emergencial de certificados. Processos como atendimento a incidentes, auditoria interna, gestão de terceiros, segurança de aplicações, administração de chaves e sustentação de integrações com o Pix devem ser revisados para demonstrar conformidade perante o BCB.

Alterações de Layout

Não há CADOC ou código numérico de documento regulatório a relacionar além daqueles já citados como atos normativos; portanto, não há menção a alteração direta de CADOC especificada no texto. As mudanças técnicas relevantes para desenvolvimento e sustentação são: inclusão de requisitos obrigatórios para Pix por aproximação na seção 4.4; alteração do fluxo de desativação de certificados digitais, com modalidades programada e decorrente de incidente de segurança; exigência do algoritmo Token Bucket para consultas à base interna de chaves; e alteração da seção 7 sobre dados de auditoria, com prazos de retenção e obrigação de retenção de registros de APIs.

Não são apontados no texto fornecido ajustes específicos de tabelas de domínios, dicionário de dados completo, tags XML ou protocolos de transmissão. A URL informada pelo BCB remete ao Manual de Segurança do Pix, mas o conteúdo disponível no ato já traz as alterações da versão 3.7; não há URL específica de layout a ser incorporada nesta síntese.