Instrução Normativa BCB nº 664

Sumário Executivo

A Instrução Normativa BCB nº 664, de 11 de setembro de 2025, publicada no DOU de 15/9/2025, Seção 1, p. 131, estabelece prazos determinados para que os Provedores de Serviços de Tecnologia da Informação (PSTI) já em funcionamento na data de entrada em vigor da Resolução BCB nº 498, de 5 de setembro de 2025, promovam as adaptações necessárias à conformidade com as regras sobre política de segurança da informação e política de gestão de fraudes previstas na referida Resolução. A norma é editada pelo Chefe do Departamento de Tecnologia da Informação (Deinf), com fundamento no art. 71, inciso V, do Regimento Interno do Banco Central do Brasil, anexo à Resolução BCB nº 340, de 21 de setembro de 2023, e considerando o disposto na Resolução BCB nº 498/2025. Sua publicação reflete a urgência regulatória em garantir que a infraestrutura tecnológica que sustenta o Sistema Financeiro Nacional (SFN) e o Sistema de Pagamentos Brasileiro (SPB) opere dentro de padrões elevados de segurança e resiliência cibernética.

Base Normativa

Norma: Instrução Normativa BCB nº 664, de 11 de setembro de 2025, publicada no DOU de 15/9/2025, Seção 1, p. 131.

Alterações: A norma não altera nem revoga diretamente outras Instruções Normativas ou Resoluções específicas de forma expressa. Ela é editada com base na Resolução BCB nº 498, de 5 de setembro de 2025, que disciplina os requisitos para credenciamento de PSTIs no âmbito do SFN e SPB, e faz referência à Resolução BCB nº 340, de 21 de setembro de 2023 (Regimento Interno do BCB). Não há menção explícita a alteração ou revogação de normas anteriores no texto fornecido.

Motivação: A motivação regulatória reside na preservação da liquidez, solvência e higidez do mercado financeiro e do sistema de pagamentos, nos termos do art. 4º, inciso V, alíneas 'b' e 'c' do Decreto nº 10.411, de 30 de junho de 2020, que regulamenta a Lei nº 13.874, de 20 de setembro de 2019 (Lei da Liberdade Econômica). A norma visa resguardar a integridade e a confiança na RSFN e nos arranjos de pagamento por ela suportados, prevenindo riscos operacionais, fraudes e vulnerabilidades cibernéticas. A dispensa de Análise de Impacto Regulatório (AIR) é justificada pela finalidade de proteção da higidez do sistema financeiro e do sistema de pagamentos.

Adequação

O cronograma de adequação estabelecido pela Instrução Normativa BCB nº 664/2025 é o seguinte: (1) 15 dias contados da entrada em vigor da Instrução Normativa (data de publicação no DOU, 15/9/2025): os PSTIs devem implementar os aspectos da política de segurança da informação previstos no art. 17 da Resolução BCB nº 498/2025 que estão listados no caput do art. 2º, incluindo rastreabilidade de transações, controle de acesso, gestão de certificados digitais, inteligência cibernética e mecanismos de proteção de rede; (2) 30 dias contados da entrada em vigor da Instrução Normativa: devem ser implementados os demais aspectos da política de segurança da informação previstos no art. 17 da Resolução BCB nº 498/2025 não referidos no caput do art. 2º (parágrafo único); (3) 30 dias contados da entrada em vigor: os PSTIs devem implementar a política de gestão de fraudes de que tratam os arts. 24 e 25 da Resolução BCB nº 498/2025 (art. 3º); (4) 15 dias após a implementação de todas as medidas previstas: o PSTI deve encaminhar ao Banco Central do Brasil o relatório de asseguração razoável elaborado por firma de auditoria independente devidamente registrada na CVM, atestando o atendimento integral a todos os procedimentos, requisitos e prazos (art. 4º, §2º). O protocolo dos documentos deve ser realizado no Protocolo Digital do BCB, selecionando o assunto 'Documentos diversos – PSTI' para destinação ao Deinf (art. 5º). O descumprimento dos prazos poderá sujeitar o PSTI à aplicação de medidas cautelares previstas no art. 32 da Resolução BCB nº 498/2025 (art. 6º).

Impacto Operacional

A norma gera impacto operacional e financeiro substancial para os PSTIs, que deverão: (a) contratar ou reforçar equipes de segurança da informação e inteligência cibernética para implementar trilhas de auditoria, monitoramento de Deep/Dark Web e gestão de certificados digitais; (b) revisar e atualizar arquiteturas de rede com regras de firewall, controle de acesso à rede corporativa e mecanismos de autenticação multifator para ambientes Pix e STR; (c) estabelecer processos de revisão periódica de permissões de acesso, com foco especial em colaboradores terceirizados; (d) implementar ferramentas de monitoramento e tratamento de eventos atípicos, incluindo detecção de abertura de VPNs e acessos privilegiados em horários não convencionais; (e) contratar firma de auditoria independente registrada na CVM para elaboração do relatório de asseguração razoável, o que implica custos adicionais de auditoria; (f) adaptar processos internos de gestão de fraudes conforme os arts. 24 e 25 da Resolução BCB nº 498/2025; (g) estruturar o fluxo de comunicação com o Deinf por meio do Protocolo Digital do BCB. A compressão dos prazos (15 a 30 dias) impõe pressão operacional intensa, exigindo mobilização imediata de recursos humanos, tecnológicos e financeiros. A não conformidade pode resultar em aplicação de medidas cautelares pela reguladora.

Alterações de Layout

Não há menção explícita a qualquer CADOC ou código numérico de documento regulatório de 4 dígitos no texto da norma fornecida. Portanto, conforme as regras de referência, não se pode listar ou deduzir alterações de CADOCs a partir deste texto. As alterações técnicas descritas na norma abrangem: (a) implementação de trilhas de auditoria fim-a-fim com geração de logs para identificação de falhas de processamento e comportamentos atípicos; (b) definição de tempos de retenção de informações por tipo de processamento; (c) retenção segura das trilhas de auditoria com acesso pelas instituições usuárias para fins de conciliação e gestão de riscos; (d) controle de acesso à rede corporativa com limitação a usuários e dispositivos autorizados, revisão periódica de permissões (especialmente de terceirizados) e autenticação multifator para acesso externo e administrativo aos ambientes Pix e STR; (e) gestão de certificados digitais com monitoramento de uso e validação de certificados revogados junto às autoridades certificadoras; (f) ações de inteligência cibernética com monitoramento na Internet, Deep Web, Dark Web e grupos privados de comunicação; (g) mecanismos de proteção de rede incluindo regras de firewall, monitoramento de conexões, critérios para conexões externas em horários não convencionais, e ferramentas para identificação de eventos atípicos como abertura de VPNs e tentativas de acesso privilegiado. Tais mudanças demandam alterações significativas nos dicionários de dados, sistemas de logging, arquiteturas de rede e protocolos de autenticação dos PSTIs.