Instrução Normativa BCB nº 666

Sumário Executivo

A Instrução Normativa BCB nº 666, de 22 de setembro de 2025, publicada no DOU de 24/9/2025, Seção 1, p. 178, disciplina a dispensa temporária da observância do limite de emissão de Transferência Eletrônica Disponível – TED de valor igual ou superior a R$ 15.000,00 (quinze mil reais) por instituição que se conecta à Rede do Sistema Financeiro Nacional – RSFN por meio de Provedor de Serviços de Tecnologia da Informação – PSTI. A norma foi editada pelo Chefe do Deinf, Chefe do Degef e Chefe do Deban, com fundamento no Regimento Interno do Banco Central do Brasil (anexo à Resolução BCB nº 340, de 21/9/2023) e no art. 3º-A, § 3º, inciso II, da Resolução BCB nº 256, de 1º/11/2022. A norma estabelece um mecanismo de dispensa temporária de 90 dias, renovável por períodos sucessivos de mesmo limite, desde que a instituição cumpra requisitos de garantia patrimonial, controles de segurança da informação e apresente relatório de asseguração razoável elaborado por firma de auditoria independente registrada na CVM. O objetivo regulatório é permitir que instituições em fase de adequação tecnológica continuem operando com volumes elevados de TED sem comprometer a estabilidade do sistema de pagamentos, impondo controles compensatórios robustos.

Base Normativa

Norma: Instrução Normativa BCB nº 666, de 22 de setembro de 2025, publicada no DOU de 24/9/2025, Seção 1, p. 178.

Alterações: A norma disciplina a dispensa temporária prevista no art. 3º-A, §§ 2º e 3º, da Resolução BCB nº 256, de 1º de novembro de 2022. Não há revogação expressa de normas anteriores; a Instrução Normativa BCB nº 666 opera como complemento e regulamentação de exceção à Resolução BCB nº 256/2022. A exigência de garantia de que trata o art. 3º é cumulativa com a garantia apresentada com base na Instrução Normativa BCB nº 667, de 22 de setembro de 2025.

Motivação: A motivação regulatória reside na necessidade de equilibrar a flexibilidade operacional das instituições que dependem de PSTI para acesso à RSFN com a preservação da estabilidade do sistema financeiro nacional. Ao permitir a dispensa temporária do limite de TED, o BCB reconhece que instituições em processo de transição tecnológica ou que utilizam infraestrutura terceirizada precisam de prazo para adequação de controles, sem que isso comprometa a integridade do sistema de pagamentos. A exigência de garantia de capital e controles de segurança assegura que o risco sistêmico permaneça mitigado durante o período de dispensa.

Adequação

A Instrução Normativa BCB nº 666 entra em vigor na data de sua publicação (22/9/2025). O cronograma de adequação compreende as seguintes etapas: (1) Período de referência para garantia de capital: a instituição deve ter mantido, no mínimo, sobra de capital de 100% sobre o volume diário máximo de TED no período de 1º de agosto de 2025 a 29 de agosto de 2025, conforme apurado na Conta Reservas Bancárias ou Conta de Liquidação; (2) Protocolização do pedido: a instituição deve instruir o pedido de dispensa com documento formal demonstrando a constituição da garantia, descrição das medidas de controle de segurança (arts. 4º e 5º) e o relatório de asseguração razoável elaborado por firma de auditoria independente registrada na CVM; (3) Prazo da dispensa inicial: o prazo de dispensa temporária é de 90 dias a contar da comunicação formal da decisão conjunta do Deban, Deinf e Degef; (4) Renovação: a dispensa poderá ser prorrogada por sucessivos períodos de no máximo 90 dias, até que a instituição atenda integralmente o § 1º do art. 3º-A da Resolução BCB nº 256/2022, desde que não tenha apresentado deficiências ou falhas operacionais graves; (5) Assinatura obrigatória: o pedido deve ser assinado por Diretor estatutário responsável pela política de segurança cibernética, que se comprometerá pela veracidade das informações sob as penas da Lei nº 13.506, de 13/11/2017; (6) Risco de revogação: o BCB poderá revogar a dispensa a qualquer tempo caso sejam detectadas deficiências operacionais graves, informações desatualizadas sobre capital ou descumprimento das exigências do art. 3º.

Impacto Operacional

A norma gera impacto operacional significativo em múltiplas frentes. Em termos de capital, a instituição deve manter uma sobra de capital equivalente a 100% do volume diário máximo de TED em favor de clientes, o que pode representar um comprometimento substancial de capital de giro, especialmente para instituições de menor porte. Em termos de tecnologia e segurança da informação, é necessário implementar ou reforçar controles como: segregação de ambientes computacionais, criptografia de dados, gestão rigorosa de certificados digitais, sistemas de detecção de intrusão, trilhas de auditoria completas, autenticação multifator e mecanismos de interrupção de processamento em caso de suspeita de comprometimento. Em termos de auditoria e compliance, a contratação de firma de auditoria independente registrada na CVM para elaboração de relatório de asseguração razoável representa custo adicional e demanda tempo de preparação. Em termos de processos, é necessário revisar políticas de gestão de fraudes, controle de acesso, gestão de vulnerabilidades e procedimentos de backup e recuperação de dados. A área de TI deve garantir que chaves privadas não sejam compartilhadas com o PSTI, que certificados sejam revogados e substituídos no STR e SITRAF, e que ambientes de nuvem pública mantenham instância dedicada e apartada para processamento de TED. A alta gestão deve designar um Diretor estatutário responsável pela política de segurança cibernética para assinar o pedido, assumindo responsabilidade legal pela veracidade das informações.

Alterações de Layout

Não há menção explícita a qualquer CADOC ou código numérico de documento regulatório no texto da Instrução Normativa BCB nº 666. Portanto, não há alteração de layout de CADOC especificada no texto fornecido. No entanto, do ponto de vista técnico-operacional, a norma impõe as seguintes exigências que impactam diretamente sistemas e infraestrutura: (1) Gestão de certificados digitais: obrigatoriedade de revogação e substituição de certificados digitais no STR (operado pelo BCB) e no SITRAF (operado pela Núclea), com garantia de que chaves privadas não são compartilhadas com o PSTI; (2) Segregação de ambientes: isolamento físico e lógico dos ambientes de processamento de TED em relação aos demais sistemas, com instância dedicada em casos de uso de nuvem pública; (3) Monitoramento de fraudes: implementação de monitoramento em dias úteis das 6h00 às 19h00 para identificação em tempo real de transações atípicas com base em padrões históricos; (4) Criptografia e proteção de rede: implementação de mecanismos de criptografia, prevenção de intrusão, proteção contra softwares maliciosos e regras de firewall; (5) Trilhas de auditoria: geração de logs fim-a-fim com retenção segura para rastreabilidade de transações; (6) Autenticação multifator: exigência de múltiplos fatores de autenticação para acesso à rede corporativa e para acesso administrativo em ambientes internos de processamento de TED; (7) Protocolo Digital do BCB: as instituições devem selecionar o assunto "Documentos para avaliação de dispensa dos limites estabelecidos – TED – PSTI" para destinação ao Degef no Protocolo Digital do Banco Central do Brasil.