A Resolução BCB 538 e a Resolução CMN 5.274, de 18 de dezembro de 2025, exigem das instituições sujeitas a cada norma um teste de intrusão no mínimo anual, com independência e imparcialidade, por pessoa natural ou empresa especializada contratada, com resultados e planos de ação documentados. O prazo de adequação da política de segurança cibernética terminou em 1º de março de 2026.
Com o prazo vencido, a questão passou a ser se o teste realizado se sustenta como evidência quando alguém pedir para vê-lo. O texto oficial está disponível nas páginas da Resolução BCB 538 e da Resolução CMN 5.274 no site do Banco Central.
O que as normas mudaram
As duas resoluções atualizam o arcabouço de 2021: a BCB 538 altera a Resolução BCB 85, e a CMN 5.274 altera a Resolução CMN 4.893. O que antes era princípio passou a ser prescrição, com controles mínimos que precisam ser demonstráveis.
Entre os requisitos adicionais estão autenticação com múltiplos fatores nos acessos sensíveis, inteligência cibernética com monitoramento de ameaças fora do perímetro, rastreabilidade das operações, gestão de vulnerabilidades e correções, isolamento de ambientes críticos como Pix, STR e RSFN, regras mais rígidas para contratação de nuvem e o teste de intrusão anual e independente.
O que a norma pede no teste de intrusão
Quatro elementos aparecem de forma consistente. A periodicidade anual é o mínimo, e mudanças relevantes no ambiente justificam testes adicionais. O art. 22-A prevê executor especializado contratado com independência e imparcialidade, sem prejuízo de testes adicionais por equipes da própria instituição.
Os resultados precisam estar documentados, acessíveis e rastreáveis. E o plano de ação precisa existir, com evidência de execução: encontrar a falha sem tratar o achado deixa a exigência incompleta.
Onde os controles exigidos encontram os dados de campo
O Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações de 11 setores, mostra que vários controles tornados mínimos coincidem com os pontos por onde os testes conseguem entrar. Em 38,1% das organizações havia ambiente em nuvem sem autenticação multifator, e credenciais roubadas por infostealers aceleraram a intrusão em 21,4% dos testes.
O estudo é multissetorial, não exclusivo do setor financeiro. Ainda assim, indica que a norma concentrou exigências nos pontos onde os testes mais encontram falhas.
O setor financeiro também está no radar dos organismos internacionais. Uma pesquisa do BIS (Bank for International Settlements) com bancos centrais mostra que poucos consideram o setor adequadamente preparado para ataques cibernéticos e que mais da metade avaliou como insuficiente o investimento do setor em segurança no ano anterior. No Brasil, os bancos devem destinar R$ 50,4 bilhões à tecnologia em 2026, segundo a Pesquisa FEBRABAN de Tecnologia Bancária, que coloca a cibersegurança como agenda central do setor.
Exemplo fictício: o relatório que não se sustenta
Uma instituição de pagamento fictícia fez o teste em fevereiro de 2026, antes do prazo. O time interno conduziu o trabalho com apoio de uma ferramenta de varredura, e o ambiente Pix ficou fora do escopo para evitar risco de indisponibilidade. O relatório foi arquivado sem plano de ação acompanhado.
Quando o auditor, o regulador ou o conselho perguntarem quem executou, o que estava no escopo e onde estão as correções, as três respostas serão frágeis. Testar ambientes críticos é possível com janelas de execução e canal de escalonamento acordados antes do início.
Checklist para o próximo ciclo
Para o primeiro ciclo anual sob as novas regras:
- Aplicabilidade: confirmar com o jurídico qual das resoluções se aplica à instituição.
- Escopo: incluir os ambientes críticos no próximo teste.
- Independência: formalizar a independência do executor, inclusive quando ele presta outros serviços.
- Plano de ação: exigir responsável, prazo e reteste que comprove a correção.
- Guarda: manter relatório, plano e evidências pelo prazo que a norma exige.
- Reporte: levar o resultado à alta administração com indicador de risco.
Este conteúdo explica as exigências técnicas das resoluções e não é parecer jurídico. A aplicação a cada instituição deve passar pelo jurídico e pelo compliance.
Teste independente com evidência e reteste
A Vultus conduz testes de intrusão com equipe independente, escopo que inclui ambientes críticos e relatório com cadeia de ataque, plano de ação e reteste documentado. O monitoramento de credenciais vazadas apoia a exigência de inteligência cibernética. Conheça o pentesting avançado da Vultus e a inteligência de ameaças.
