Sumário Executivo

A Resolução BCB nº 498, de 5 de setembro de 2025, disciplina os requisitos, procedimentos e condições para o credenciamento de Provedores de Serviços de Tecnologia da Informação (PSTI) no âmbito do Sistema Financeiro Nacional (SFN) e do Sistema de Pagamentos Brasileiro (SPB). Publicada no DOU extra de 5/9/2025, a norma tem como base legal o art. 10 da Lei nº 4.595/1964 e o art. 10 da Lei nº 10.214/2001, e foi alterada pela Resolução BCB nº 547, de 30/1/2026, que revogou e reinterpretou diversos dispositivos originalmente previstos. A norma visa garantir que os provedores de tecnologia que processam dados para acesso à Rede do Sistema Financeiro Nacional (RSFN) operem com padrões elevados de segurança, governança e solidez financeira.

Impacto Sistêmico

ALTO

O impacto é classificado como ALTO porque a norma afeta diretamente todo o ecossistema de provedores de tecnologia que prestam serviços de processamento de dados para a RSFN e o SPB, abrangendo instituições de todos os segmentos. Os requisitos de capital mínimo de R$ 15 milhões, certificações internacionais, auditorias independentes, estruturas de governança corporativa e seguros obrigatórios impõem custos significativos de adequação. Além disso, a obrigatoriedade de segregação de ambientes computacionais, isolamento físico e lógico dos ambientes Pix e STR, e a implementação de políticas de gestão de crises e fraudes exigem reestruturações operacionais profundas. A norma também altera o modelo de negócio de provedores que anteriormente operavam sem supervisão direta do Bacen, criando um novo paradigma regulatório para toda a cadeia de tecnologia financeira.

Base Normativa

Norma: Resolução BCB nº 498, de 5 de setembro de 2025 — Disciplina, no âmbito do Sistema Financeiro Nacional e do Sistema de Pagamentos Brasileiro, os requisitos, os procedimentos e as condições para o credenciamento de Provedor de Serviços de Tecnologia da Informação – PSTI e dá outras providências.

Alterações: A norma foi alterada pela Resolução BCB nº 547, de 30/1/2026, que modificou diversos artigos e incisos, incluindo: art. 1º (parágrafo único e inclusão do § 2º sobre entidades do mesmo grupo econômico); art. 2º (redefinição de RSFN e PSTI); art. 3º (alteração dos incisos II a XV); revogação do art. 4º e criação dos arts. 4º-A, 4º-B e 4º-C; alteração do art. 5º e criação dos arts. 5º-A e 5º-B; alteração do art. 6º; alteração dos arts. 7º a 10; alteração dos arts. 11 a 30 e criação dos arts. 30-A, 30-B e 30-C; alteração dos arts. 31 a 37; e revogação parcial da Circular nº 3.970, de 28/11/2019 (arts. 2º inciso III, 6º e 7º inciso III).

Motivação: A motivação regulatória reside na necessidade de fortalecer a estabilidade financeira e a segurança do Sistema de Pagamentos Brasileiro (SPB), diante do crescente papel desempenhado por provedores de tecnologia na infraestrutura financeira nacional. A norma busca mitigar riscos sistêmicos associados à dependência de serviços de TI críticos, garantindo que os PSTI operem com solidez financeira, governança robusta, segurança cibernética avançada e continuidade de negócios. No cenário macroeconômico, a medida se alinha à tendência global de regulação de terceirização de serviços tecnológicos no setor financeiro, ampliando a supervisão do Bacen sobre a cadeia de fornecimento de tecnologia que sustenta o SFN e o SPB.

Acessar Regulamentação Original

Resolução BCB n° 498

Adequação

O cronograma de adequação é detalado da seguinte forma: (1) A Resolução entra em vigor na data de sua publicação, conforme o art. 39, ou seja, 5 de setembro de 2025; (2) O pedido de credenciamento deve ser apresentado em até 8 meses após a entrada em vigor da Resolução (prazo ampliado de 4 para 8 meses pela Resolução BCB nº 547, de 30/1/2026), resultando em prazo final estimado de aproximadamente 5 de maio de 2026; (3) O PSTI já em funcionamento na data de entrada em vigor deve promover adaptações necessárias aos arts. 17 e 25 conforme cronograma a ser publicado pelo Banco Central do Brasil (art. 37, caput); (4) O cumprimento de cada fase do cronograma deve ser confirmado por relatório de asseguração razoável emitido por auditoria independente registrada na CVM (art. 37, § 1º); (5) O atraso no cumprimento dos prazos pode acarretar limites operacionais mais restritivos ou descredenciamento de ofício (art. 37, § 2º); (6) O PSTI que tenha pedido pendente na data de entrada em vigor deve apresentar pleito de credenciamento com base nos critérios da nova Resolução no prazo do § 3º; (7) O descredenciamento, quando aplicável, deve ser precedido pela implementação do plano de saída ordenada (art. 20); (8) A comunicação de descredenciamento deve observar antecedência mínima de 30 dias às instituições contratantes (art. 8º); (9) Comunicações de alteração societária devem ser feitas em até 10 dias (art. 30, inciso III original); (10) Comunicações de descumprimento de condições dos administradores devem ocorrer em até 15 dias (art. 30-B, § 1º).

Impacto Operacional

A norma gera impacto operacional significativo para as instituições, exigindo: (1) Reestruturação de governança corporativa, com criação ou formalização de Comitê de Gestão de Crises Operacionais, designação de Diretores de Segurança da Informação e Cibernética, Diretor de Riscos e Compliance, e Diretor de Relacionamento com o Bacen; (2) Capacitação financeira, com necessidade de manter capital social e patrimônio líquido de no mínimo R$ 15 milhões, além de contratação de seguro de responsabilidade civil e riscos operacionais; (3) Auditorias externas anuais independentes em segurança da informação e, quando aplicável, em prevenção à lavagem de dinheiro e financiamento do terrorismo, com relatórios enviados ao Bacen e às instituições contratantes; (4) Implementação de políticas de segurança da informação e cibernética contemplando criptografia, detecção de intrusão, rastreabilidade de transações, gestão de certificados digitais, isolamento físico e lógico dos ambientes Pix e STR, e inteligência cibernética com monitoramento da Deep e Dark Web; (5) Políticas de gestão de fraudes com monitoramento 24x7, canais de reporte e mecanismos de interrupção de fluxo transacional; (6) Plano de continuidade de negócios com centro de processamento secundário capaz de processar volumes iguais aos dos últimos 252 dias úteis; (7) Plano de saída ordenada para cenários de encerramento de atividades; (8) Relatórios anuais de riscos, controles internos e conformidade a serem enviados ao Bacen até o último dia útil de maio do ano seguinte; (9) Adaptações contratuais com instituições contratantes, incluindo cláusulas que reflitam as obrigações da norma; (10) Para as instituições financeiras que utilizam PSTIs, a obrigatoriedade de monitorar continuamente a adequação do provedor contratado e manter documentação de supervisão à disposição do Bacen.

Alterações de Layout

O texto da norma não menciona explicitamente códigos de CADOC específicos com alterações de layout, tabelas de domínios, dicionários de dados, tags XML ou protocolos de transmissão. A norma faz referência genérica aos Requisitos Técnicos da RSFN estabelecidos pelo Deinf (Departamento de Tecnologia da Informação do Banco Central do Brasil), incluindo o Catálogo de Serviços do SFN, o Manual de Redes do SFN e o Manual de Segurança do SFN, conforme o art. 27, inciso II, mas sem especificar alterações de layout documental. A Circular nº 3.970, de 28/11/2019, teve seus arts. 2º inciso III, 6º e 7º inciso III revogados pela presente Resolução. Não há URLs explícitas no texto fornecido que indiquem alteração de layout técnico. Recomenda-se acompanhar a Instrução Normativa BCB complementar mencionada no art. 34, § 1º, que disciplinará o processo de monitoramento dos serviços prestados pelos PSTI.