BC aperta regras de provedores de TI para instituições financeiras

O Banco Central (BC) promoveu ajustes na regulamentação dos Provedores de Serviços de Tecnologia da Informação (PSTI) que atuam no Sistema Financeiro Nacional (SFN) e no Sistema de Pagamentos Brasileiro (SPB). As mudanças alteram uma resolução editada em setembro de 2025, que trata do credenciamento e da atuação dessas empresas.

Segundo o BC, a iniciativa tem como objetivo aperfeiçoar dispositivos da norma vigente, tornando os requisitos mais completos, claros e objetivos. As alterações também tornam o processo de credenciamento mais rigoroso, alinhando as exigências aplicáveis aos PSTI às práticas já adotadas em outros segmentos regulados.

Principais mudanças da resolução

Capital social e patrimônio líquido

O Banco Central poderá exigir, a qualquer momento, valores de capital social e patrimônio líquido superiores aos apresentados no credenciamento inicial, reforçando a capacidade financeira dos provedores.

Requisitos de credenciamento

Houve ajustes nos critérios de reputação e capacidade técnica dos administradores, alinhados a outros setores regulados, além da inclusão de definições sobre controle acionário e de novos mecanismos de análise de conformidade.

Governança e gestão de riscos

A norma reforça as exigências de governança corporativa, controles internos e compliance, com obrigação de elaboração anual de relatórios e adoção de mecanismos de rastreabilidade.

Descredenciamento

Os procedimentos foram simplificados, tornando o processo mais objetivo e ágil em situações de descumprimento das regras.

Prestação de informações ao BC

Ampliação das obrigações de comunicação, incluindo alterações societárias e substituição de administradores.

Medidas cautelares

Inclusão de novas hipóteses que autorizam o BC a adotar medidas preventivas, como nos casos de ausência prolongada de diretor responsável.

Adaptação

O período para implementação das mudanças foi ampliado de quatro para oito meses, permitindo uma transição mais segura e previsível.

O Banco Central informou ainda que, durante o período de adequação, as instituições que se conectam à Rede do Sistema Financeiro Nacional (RSFN) por meio de PSTI continuam sujeitas ao limite de R$ 15 mil por transação via Pix e TED, conforme as Resoluções BCB 496 e 497, até que o credenciamento do provedor seja concluído.

Na avaliação do BC, o aprimoramento das regras fortalece a segurança, a eficiência e a transparência na atuação dos PSTI, contribuindo para um ambiente mais confiável, com redução de riscos operacionais e cibernéticos e maior estabilidade do sistema financeiro e de pagamentos do país.

Elo vulnerável

A decisão ocorre na mesma semana em que o Banco do Nordeste (BNB) foi alvo de um ataque hacker. O incidente levou a instituição a suspender o Pix, após o desvio de recursos de uma conta-bolsão, instrumento que reúne recursos de vários usuários em uma única conta, sem identificação individualizada dos titulares.

Desde o ano passado, ataques a prestadores de serviços terceirizados têm se tornado mais frequentes no sistema financeiro, por representarem um elo potencialmente mais vulnerável da cadeia tecnológica. Esse tipo de estratégia permite aos criminosos contornar camadas robustas de proteção dos grandes bancos ao explorar falhas em sistemas integrados.

O reforço na regulação ocorre em um contexto de aumento dos investimentos em cibersegurança por parte das instituições financeiras, impulsionado tanto pela digitalização dos serviços quanto pelo crescimento do Pix como principal meio de pagamento do país. 

No ano passado, o BC suspendeu do sistema Pix diversas empresas que atendiam a bancos e endureceu as regras de segurança para instituições de pagamento.