Sumário Executivo

A Instrução Normativa BCB nº 99, de 14 de abril de 2021, teve como objeto divulgar a versão 2.0 do Manual de Segurança do Open Banking, de observância obrigatória pelas instituições participantes do ecossistema. A norma foi editada pelos Chefes do Denor e Deinf do BCB e revogou a Instrução Normativa BCB nº 37, de 29/10/2020.

O Manual de Segurança versão 2.0 incorpora requisitos da Fase 2 do Open Banking e detalha, em termos operacionais, as diretrizes de segurança da Resolução Conjunta nº 1, de 4/5/2020, e da Resolução BCB nº 32, de 29/10/2020. O documento prescreve requisitos mínimos para compartilhamento de dados de canais, produtos, cadastro e transações, abrangendo governança, proteção técnica, detecção de incidentes e reação, além de obrigações para a Estrutura Responsável pela Governança do Open Banking.

A norma entrou em vigor na data de publicação e teve vigência curta, sendo revogada pela Instrução Normativa BCB nº 134, de 22/7/2021. Mesmo revogada, a versão 2.0 do manual representa marco regulatório para a segurança cibernética do Open Banking no Brasil, com impacto direto em arquitetura de APIs, criptografia, certificados ICP-Brasil e gestão de incidentes alinhada à LGPD.

Impacto Sistêmico

ALTO

Impacto ALTO por definir requisitos técnicos obrigatórios de segurança cibernética aplicáveis a todas as instituições autorizadas pelo BCB participantes do Open Banking. A complexidade de implementação envolve arquitetura de APIs, criptografia, segregação de rede, monitoramento contínuo e governança de incidentes, com necessidade de adequação transversal entre áreas de TI, segurança, jurídico e compliance.

Base Normativa

Norma: Instrução Normativa BCB nº 99, de 14 de abril de 2021

Alterações: Revogou a Instrução Normativa BCB nº 37, de 29 de outubro de 2020. Foi revogada pela Instrução Normativa BCB nº 134, de 22 de julho de 2021.

Motivação: Motivação regulatória de fortalecer a segurança do Open Banking na Fase 2, alinhando requisitos operacionais às diretrizes da Resolução Conjunta nº 1/2020 e Resolução BCB nº 32/2020. Buscou aprimorar a Introdução do manual, incorporar novos requisitos de segurança e garantir compatibilidade com a evolução tecnológica e prudencial do sistema financeiro.

Acessar Regulamentação Original

Instrução Normativa BCB n° 99

Adequação

A Instrução Normativa BCB nº 99 foi publicada no DOU de 19/4/2021 e entrou em vigor na data de sua publicação, conforme Art. 3º. A partir dessa data passou a vigorar a obrigatoriedade da versão 2.0 do Manual de Segurança do Open Banking para as instituições participantes. A norma teve vigência até ser revogada pela Instrução Normativa BCB nº 134, de 22/7/2021, que passou a disciplinar a matéria. A adequação exigida aplicava-se a todas as instituições financeiras e demais entidades autorizadas pelo BCB participantes do Open Banking, sem distinção de segmento.

Impacto Operacional

A norma gera trabalho e custo relevantes por exigir revisão de arquitetura de APIs, implementação de controles criptográficos avançados, segregação de rede, hardening de sistemas, gestão de certificados ICP-Brasil, processos de duplo controle para segredos, monitoramento contínuo de volumetria e logs de auditoria, e formalização de plano de ação e resposta a incidentes. Processos de governança, contratação de terceiros, testes de intrusão anuais pela Estrutura de Governança, atualização cadastral no Diretório de Participantes e compartilhamento de informações de incidentes entre participantes devem ser revisados e documentados, com impacto em TI, segurança cibernética, jurídico e compliance.

Alterações de Layout

O texto fornecido não menciona alteração direta de CADOC ou código numérico de documento regulatório de quatro dígitos. Não há menção a alteração de layout de CADOC especificada no texto.

As alterações técnicas descritas no Manual de Segurança versão 2.0 impactam desenvolvimento e sustentação de sistemas: obrigatoriedade de acesso exclusivo por APIs, segregação lógica de rede interna, controles de tráfego de entrada e saída, uso de TLS 1.2 ou superior com Perfect Forward Secrecy, desabilitação de TLS Session Resumption e TLS Renegotiation, algoritmos obrigatórios TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 e TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, certificados digitais válidos emitidos por autoridade certificadora participante da ICP-Brasil, recomendação de AES-256bits, SHA-256bits e RSA-2048bits, sincronização de relógio via NTP, trilhas de auditoria com IP, porta, data/hora em UTC, monitoramento de erros HTTP 500 e 400, autenticação multifator para acesso remoto e formalização de processo de patch.