---
titulo: "Resolução CMN nº 4.893"
tipo: "Resolução CMN"
numero: "4.893"
data_publicacao: 2021-02-26
situacao: vigente
fonte_oficial: "https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20CMN&numero=4893"
url: https://cadoc.ai/post/resolucao-cmn-4893
mapa: https://cadoc.ai/mapa/resolucao-cmn-4893
atualizado_em: 2026-09-13T05:28:04.275907Z
temas: [PIX, SPSAV]
fonte: "cadoc.ai — análise de normas do Banco Central do Brasil"
---

# Resolução CMN nº 4.893, de 26/02/2021

**Em resumo:** A Resolução CMN nº 4.893, de 26/02/2021, estabelece a política de segurança cibernética obrigatória para instituições autorizadas pelo Banco Central do Brasil. Está em vigor e foi alterada por 1 norma; a mais recente é a Resolução CMN nº 5.117, de 25/01/2024. Revogou a Resolução CMN nº 4.658, de 26/04/2018, e a Resolução CMN nº 4.752, de 26/09/2019.

> A Resolução CMN nº 4.893, de 26/2/2021, estabelece a política de segurança cibernética obrigatória para instituições autorizadas pelo Banco Central do Brasil, além de disciplinar a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem. A norma foi significativamente ampliada pela Resolução CMN nº 5.274 (18/12/2025) e pela Resolução CMN nº 5.117 (25/1/2024), revogando as normas anteriores Resolução nº 4.658 e Resolução nº 4.752. O objetivo central é fortalecer a resiliência cibernética do Sistema Financeiro Nacional (SFN) e garantir a segurança dos dados em ambientes de nuvem.

## Situação de vigência

**Vigente.** Em vigor desde 26/02/2021, alterada por 2 normas posteriores.

## Linha do tempo

- 26/02/2021 · Publicação
- sem data · Alterada por · Resolução CMN nº 5.274
- 01/03/2024 · Alterada por · [Resolução CMN nº 5.117](https://cadoc.ai/post/resolucao-cmn-5117)

## Normas vinculadas

- [Resolução CMN nº 5.117](https://cadoc.ai/post/resolucao-cmn-5117) · Alterou esta norma · 25/01/2024
- [Instrução Normativa BCB nº 720](https://cadoc.ai/post/instrucao-normativa-bcb-720) · 02/04/2026
- [Instrução Normativa BCB nº 592](https://cadoc.ai/post/instrucao-normativa-bcb-592) · 19/03/2025
- [Instrução Normativa BCB nº 590](https://cadoc.ai/post/instrucao-normativa-bcb-590) · 05/02/2025
- [Resolução BCB nº 447](https://cadoc.ai/post/resolucao-bcb-447) · 19/12/2024
- [Resolução BCB nº 306](https://cadoc.ai/post/resolucao-bcb-306) · 23/03/2023
- [Instrução Normativa BCB nº 134](https://cadoc.ai/post/instrucao-normativa-bcb-134) · 22/07/2021
- [Instrução Normativa BCB nº 99](https://cadoc.ai/post/instrucao-normativa-bcb-99) · 14/04/2021
- [Resolução CMN nº 4.752](https://cadoc.ai/post/resolucao-cmn-4752) · 26/09/2019
- [Resolução CMN nº 4.658](https://cadoc.ai/post/resolucao-cmn-4658) · 26/04/2018

## Análise

### Sumário Executivo

A **Resolução CMN nº 4.893**, editada em 26 de fevereiro de 2021 e publicada no **DOU** em 1º de março de 2021, constitui o marco regulatório brasileiro para a **política de segurança cibernética** das instituições autorizadas a funcionar pelo **Banco Central do Brasil**. A norma dispõe sobre dois eixos fundamentais: a obrigatoriedade de implementação, manutenção e divulgação de uma política de segurança cibernética estruturada, e a disciplina rigorosa para a contratação de serviços de **processamento e armazenamento de dados** e de **computação em nuvem**, tanto no País quanto no exterior. A norma foi alterada pela **Resolução CMN nº 5.117** (25/1/2024), que ampliou o escopo de exclusão para administradoras de consórcio e determinadas sociedades corretoras, e pela **Resolução CMN nº 5.274** (18/12/2025), que trouxe um conjunto robusto de controles de segurança adicionais, incluindo requisitos específicos para o **Pix**, o **STR** e o **SPI**, além de expandir significativamente os requisitos de rastreabilidade, criptografia, proteção de rede e gestão de vulnerabilidades.

Impacto Sistêmico

ALTO

O impacto é **ALTO** porque a norma impõe requisitos abrangentes e detalhados de **segurança cibernética** a todas as instituições autorizadas pelo **BCB**, incluindo bancos múltiplos, comerciais, de desenvolvimento, de investimento, de poupança, casas de câmbio e demais entidades do **SFN**. A obrigatoriedade de implementar políticas, planos de resposta a incidentes, diretrizes de terceirização em nuvem e controles técnicos avançados (como **autenticação multifator**, **segmentação de rede**, **gestão de certificados digitais** e **testes de intrusão anuais**) gera demandas significativas de investimento em tecnologia, infraestrutura e pessoal especializado. As alterações introduzidas pela **Resolução CMN nº 5.274** elevaram ainda mais a complexidade, exigindo adaptações estruturais nos sistemas e processos de todas as instituições reguladas.

### Base Normativa

**Norma:** Resolução CMN nº 4.893, de 26 de fevereiro de 2021, publicada no DOU em 1º de março de 2021, Seção 1, p. 82/83. Entrada em vigor em 1º de julho de 2021.

**Alterações:** Foram revogadas a **Resolução nº 4.658, de 26 de abril de 2018** e a **Resolução nº 4.752, de 26 de setembro de 2019**. A norma foi alterada pela **Resolução CMN nº 5.117, de 25 de janeiro de 2024** (que excluiu do escopo administradoras de consórcio, instituições de pagamento, sociedades corretoras e distribuidoras de títulos e valores mobiliários e sociedades corretoras de câmbio) e pela **Resolução CMN nº 5.274, de 18 de dezembro de 2025** (que ampliou substancialmente os controles de segurança, adicionou o Art. 3º-A com requisitos específicos para o **RSFN**, o **Pix**, o **STR** e o **SPI**, criou os Arts. 22-A e 22-B, e expandiu os requisitos de relatórios anuais e documentação).

**Motivação:** A motivação regulatória reside na necessidade de fortalecer a **estabilidade financeira** do **Sistema Financeiro Nacional** diante da crescente digitalização dos serviços financeiros e da expansão dos riscos cibernéticos. A norma busca assegurar a **confidencialidade, integridade e disponibilidade** dos dados e sistemas de informação, protegendo o ecossistema financeiro contra incidentes cibernéticos de grande impacto sistêmico. No cenário macroeconômico, a medida se alinha à tendência global de reforço da **resiliência operacional** das instituições financeiras, especialmente diante da adoção massiva de **computação em nuvem** e da dependência crescente de prestadores de serviços terceirizados. A base legal inclui o art. 9º da **Lei nº 4.595/1964**, arts. 4º, VIII, 9º da **Lei nº 4.728/1965**, 7º e 23, alínea 'a', da **Lei nº 6.099/1974**, 1º, inciso II, da **Lei nº 10.194/2001**, e 1º, § 1º, da **Lei Complementar nº 130/2009**.

[Acessar Regulamentação Original Resolução CMN n° 4.893](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20CMN&numero=4893)

### Adequação

O cronograma de adequação prevê as seguintes datas e obrigações: (1) **1º de julho de 2021** — entrada em vigor da norma, data a partir da qual todas as instituições autorizadas pelo **BCB** devem implementar sua **política de segurança cibernética** e seu **plano de ação e de resposta a incidentes**; (2) **31 de dezembro de 2021** — prazo máximo para adequação contratual dos serviços relevantes de processamento, armazenamento de dados e **computação em nuvem** já contratados anteriormente a 26 de abril de 2018, conforme o Art. 25, parágrafo único; (3) **10 dias após a contratação** — prazo para comunicação ao **Banco Central do Brasil** da contratação de serviços relevantes de nuvem, conforme Art. 15, § 2º; (4) **10 dias após alteração contratual** — prazo para comunicação de modificações contratuais relevantes; (5) **60 dias antes da contratação ou alteração** — prazo mínimo para solicitação de autorização ao **BCB** quando não houver convênio de troca de informações com o país de prestação do serviço no exterior, conforme Art. 16, § 1º; (6) **31 de março de cada ano** — prazo para apresentação ao conselho de administração ou diretoria do **relatório anual** sobre a implementação do plano de ação e resposta a incidentes, com data-base em 31 de dezembro do ano anterior, conforme Art. 8º, § 2º; (7) **Periodicidade mínima anual** — obrigatoriedade de **testes de intrusão** independentes, conforme Art. 22-A, incluído pela **Resolução CMN nº 5.274**; (8) **Revisão anual mínima** — obrigatoriedade de revisão documental da política de segurança cibernética e do plano de ação, conforme Art. 10. A **Resolução CMN nº 5.274** (18/12/2025) não estabeleceu prazo de transição específico no texto fornecido, devendo as instituições verificar as disposições transitórias da referida resolução complementar.

### Impacto Operacional

A norma gera impacto operacional significativo e multidimensional para todas as instituições reguladas. Em termos de **custo e trabalho**, as instituições devem: (1) constituir ou atualizar sua **política de segurança cibernética**, aprovada pelo conselho de administração ou diretoria, contemplando objetivos, controles, procedimentos de rastreabilidade e diretrizes de cultura de segurança; (2) elaborar e manter um **plano de ação e de resposta a incidentes** com rotinas de prevenção, resposta e áreas responsáveis designadas; (3) **designar um diretor responsável** pela política de segurança cibernética e pelo plano de resposta a incidentes; (4) implementar controles técnicos avançados, incluindo **autenticação multifator**, **criptografia**, **segmentação de rede**, **gestão de vulnerabilidades**, **proteção contra softwares maliciosos**, **rastreabilidade de transações** e **gestão de certificados digitais**; (5) realizar **testes de intrusão anuais** com independência e imparcialidade, documentando vulnerabilidades e planos de correção; (6) estabelecer processos rigorosos de **due diligence** e governança para contratação de serviços de **computação em nuvem**, incluindo verificação de capacidade do prestador, acesso a relatórios de auditoria independente e segregação de dados dos clientes; (7) comunicar ao **BCB** toda contratação ou alteração de serviços relevantes de nuvem no prazo de 10 dias; (8) para serviços no exterior, assegurar existência de convênios de troca de informações ou solicitar autorização prévia com 60 dias de antecedência; (9) revisar contratos para incluir cláusulas de acesso ao **BCB**, notificação de subcontratação, transferência de dados e continuidade de negócios em caso de regime de resolução; (10) produzir **relatório anual** com data-base em 31 de dezembro, apresentado até 31 de março do ano seguinte, abordando efetividade da implementação, incidentes relevantes, resultados de testes de continuidade de negócios e de intrusão; (11) manter toda a documentação disponível ao **BCB** pelo prazo de **cinco anos**; (12) implementar mecanismos de **compartilhamento de informações sobre incidentes** com outras instituições e disponibilidade ao **BCB**; e (13) estabelecer critérios documentados para configuração de **situação de crise** e comunicação tempestiva ao regulador. Os processos de **terceirização**, **gestão de riscos**, **continuidade de negócios**, **auditoria interna** e **conformidade regulatória (Compliance)** devem ser revisados e integrados aos novos requisitos.

### Alterações de Layout

O texto da norma não menciona explicitamente nenhum código de **CADOC** ou documento regulatório numerado com quatro dígitos (como 3040, 2160, 4010, etc.). Portanto, não há menção a alteração direta de **CADOC** especificada no texto fornecido. A norma faz referência a publicações do **Banco Central do Brasil** como o **Catálogo de Serviços do SFN**, o **Manual de Redes do SFN** e o **Manual de Segurança do SFN**, mas estas não são identificadas por código numérico de CADOC no texto. Do ponto de vista técnico, as alterações introduzidas pela **Resolução CMN nº 5.274** (18/12/2025) impactam diretamente os sistemas das instituições nos seguintes aspectos: (1) implementação de **múltiplos fatores de autenticação** para acesso administrativo aos ambientes **Pix** e **STR**; (2) **isolamento físico e lógico** dos ambientes **Pix** e **STR** dos demais sistemas, com instâncias dedicadas, especialmente em cenários de **computação em nuvem**; (3) **monitoramento de credenciais e certificados digitais** no âmbito do **SPI**; (4) implementação de **validação de integridade fim a fim** das transações antes da assinatura digital; (5) **segmentação de rede** com regras de **firewall**, monitoramento de conexões e **VPNs**; (6) **gestão do ciclo de vida** de recursos computacionais, incluindo configurações seguras, correções regulares e rotação de senhas; (7) **rastreabilidade de transações** com trilhas de auditoria **fim a fim**, logs identificáveis e retenção segura; (8) **testes de intrusão** com periodicidade mínima anual, realizados por entidade independente; (9) **gestão de certificados digitais** com monitoramento de revogação e controle de chaves privadas; e (10) **inteligência de ameaças** incluindo monitoramento da **Deep Web** e **Dark Web**. As alterações contratuais para serviços de nuvem devem prever cláusulas específicas de acesso do **BCB**, notificação de subcontratação, transferência de dados em caso de extinção contratual e notificação prévia de 30 dias para interrupção de serviços em regime de resolução.

## Fonte e citação

- Texto oficial: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20CMN&numero=4893
- Análise: https://cadoc.ai/post/resolucao-cmn-4893
- Mapa de revogações, alterações e vínculos: https://cadoc.ai/mapa/resolucao-cmn-4893

Como citar: Cadoc AI. Resolução CMN nº 4.893: análise. Disponível em https://cadoc.ai/post/resolucao-cmn-4893.