Independência demonstrável
Execução por profissionais independentes das equipes que desenvolvem e operam os sistemas avaliados, com essa separação registrada.
Conformidade regulatória · Banco Central do Brasil
Adequação BACEN 5.274 e BCB 538: pentest e cibersegurança para instituições financeiras
A Resolução CMN nº 5.274/2025 e a Resolução BCB nº 538/2025 elevaram o patamar de segurança cibernética exigido de quem é autorizado a funcionar pelo Banco Central — incluindo teste de intrusão anual, executado por profissionais independentes, com evidências à disposição do supervisor.
O que é adequação BACEN em segurança cibernética
Adequação BACEN em segurança cibernética é o conjunto de políticas, controles técnicos e evidências que uma instituição autorizada pelo Banco Central precisa manter sob a Resolução CMN nº 5.274/2025 — que altera a Resolução CMN nº 4.893/2021 — e sob a Resolução BCB nº 538/2025: teste de intrusão anual independente, resposta a incidentes, gestão de terceiros e regras para computação em nuvem.
Na prática, a supervisão deixou de aceitar apenas a existência de uma política. O que passa a ser cobrado é a evidência: relatórios de teste, vulnerabilidades identificadas, plano de ação, responsáveis, prazos e comprovação de que a correção foi aplicada e revalidada.
Marco regulatório em vigor
•Resolução CMN nº 5.274, de 18 de dezembro de 2025 — altera a Resolução CMN nº 4.893/2021 e se aplica às instituições financeiras.
•Resolução BCB nº 538, de 18 de dezembro de 2025 — conteúdo equivalente, aplicável a instituições de pagamento, corretoras e distribuidoras.
•Prazo de adequação para instituições já em funcionamento: 1º de março de 2026.
•Teste de intrusão anual, executado por profissionais independentes, com resultados documentados.
•Relatórios e evidências de remediação mantidos à disposição do Banco Central por, no mínimo, 5 anos.
•Texto oficial e eventuais atualizações devem ser consultados diretamente na base de normativos do BCB.
Requisito → serviço
O que a norma exige e como a Berghem atende
Cada item abaixo corresponde a uma exigência do arcabouço de segurança cibernética do BACEN e ao serviço Berghem que produz a evidência correspondente.
Teste de intrusão anual e independente
Pentest executado por equipe externa às áreas que desenvolvem e operam os sistemas testados, com escopo, metodologia e resultados documentados.
Gestão de vulnerabilidades e remediação
Identificação, classificação por risco, plano de ação com responsáveis e prazos, e reteste que comprova a correção.
Política de segurança cibernética e evidências
Revisão da política, dos controles mínimos e da trilha documental que a instituição precisa apresentar ao supervisor.
Plano de ação e de resposta a incidentes
Construção, teste e exercício do plano de resposta, com trilha de auditoria, comunicação e lições aprendidas.
Gestão de riscos de terceiros
Avaliação de fornecedores e de sistemas de terceiros executados com recursos computacionais da própria instituição.
Segurança de APIs e da esteira de desenvolvimento
Controles de segurança em APIs, hardening, gestão de certificados digitais e integração de segurança ao ciclo de desenvolvimento.
Inteligência de ameaças cibernéticas
Monitoramento de Internet, deep web e dark web por vazamento de credenciais, certificados e dados da instituição.
Fator humano e simulação de adversário
Phishing, vishing e simulações de engenharia social que testam autenticação, controles e resposta na prática.
Nuvem, Pix, STR e RSFN
Avaliação de isolamento de ambientes críticos, controle de chaves privadas e segurança de pagamentos e liquidação.
Números da norma
1º/03/2026
prazo de adequação para instituições já em funcionamento
Anual
frequência mínima do teste de intrusão exigido
5 anos
retenção mínima de relatórios e evidências à disposição do BCB
20+
anos de segurança ofensiva da Berghem no setor financeiro
Entregáveis
O que o teste de intrusão precisa produzir
Um relatório genérico não sustenta uma inspeção. O que a supervisão espera encontrar é uma trilha completa, do escopo à comprovação da correção.
Escopo justificado
Sistemas, ambientes e interfaces cobertos, com critério técnico explícito para o que entrou e o que ficou fora do escopo.
Achados e plano de ação
Vulnerabilidades classificadas por risco, com reprodução, impacto de negócio, recomendação, responsável e prazo de correção.
Evidência de correção e reteste
Comprovação de que a remediação foi aplicada e revalidada, em formato que sobrevive a uma inspeção anos depois.
Por que a Berghem
Duas décadas dentro do setor financeiro brasileiro
A Berghem nasceu em 2003 e construiu a maior parte da sua história dentro de bancos, adquirentes, processadoras e fintechs.
Especialização ofensiva
Segurança ofensiva é o core da operação, não uma linha acessória: pentest, red team, EMV, POS, ATM, Pix e Open Finance.
Evidência que resiste à auditoria
Relatórios construídos para dois públicos ao mesmo tempo: quem corrige o sistema e quem responde ao regulador.
Presença LATAM e Europa
Operação em São Paulo e, via Berilo, em Bergamo — cobrindo instituições com exposição regulatória no Brasil e na Europa.
Perguntas frequentes
Adequação BACEN: dúvidas comuns
O que exige a Resolução CMN nº 5.274/2025?
A Resolução CMN nº 5.274/2025 altera a Resolução CMN nº 4.893/2021 e endurece o arcabouço de segurança cibernética das instituições autorizadas pelo Banco Central. Entre os pontos de maior impacto operacional estão a exigência de teste de intrusão anual executado por profissionais independentes, com resultados documentados, plano de ação de remediação e evidências mantidas à disposição do BCB por no mínimo cinco anos, além de controles mínimos como autenticação multifator para acesso administrativo, criptografia, prevenção de vazamento de dados, rastreabilidade, gestão de vulnerabilidades, segurança de APIs e inteligência de ameaças. Para o texto integral, consulte a base de normativos do BCB.
Qual a diferença entre a Resolução CMN 5.274 e a Resolução BCB 538?
As duas normas são de 18 de dezembro de 2025 e têm conteúdo técnico equivalente. A diferença é o público: a Resolução CMN nº 5.274/2025 se aplica às instituições financeiras, enquanto a Resolução BCB nº 538/2025 alcança instituições de pagamento, corretoras e distribuidoras. Na prática, o programa de segurança e as evidências exigidas são os mesmos; muda a base normativa citada na documentação.
A Resolução CMN 5.274 revogou a Resolução CMN 4.893/2021?
Não. A Resolução CMN nº 5.274/2025 altera a Resolução CMN nº 4.893/2021, que permanece como norma de referência com o texto atualizado. Por isso a documentação interna deve citar a 4.893/2021 na redação vigente, e não a versão original de 2021. Recomendamos validar a redação consolidada diretamente na base de normativos do BCB.
Com que frequência o teste de intrusão precisa ser realizado?
No mínimo uma vez por ano. A obrigatoriedade é de teste de intrusão anual, com resultados, vulnerabilidades identificadas e plano de ação documentados. Instituições com ciclos de mudança acelerados normalmente adotam uma cadência maior — pentest anual completo somado a testes direcionados a cada release relevante — para que a evidência acompanhe o risco real do ambiente.
Quem pode executar o teste de intrusão exigido pelo BACEN?
A norma exige execução por profissionais independentes, ou seja, sem vínculo com as equipes que desenvolvem, mantêm ou operam os sistemas avaliados. Um time interno de segurança que reporta à mesma diretoria de tecnologia responsável pelo sistema testado tende a não satisfazer esse critério. A contratação de uma empresa externa especializada é o caminho mais direto para demonstrar a independência em uma inspeção.
Por quanto tempo preciso guardar os relatórios de pentest?
Os relatórios e as evidências de remediação devem ser mantidos à disposição do Banco Central por, no mínimo, cinco anos. Isso significa guardar não só o relatório final, mas também o escopo acordado, a metodologia, os achados classificados por risco, o plano de ação com responsáveis e prazos e a comprovação de que a correção foi aplicada e revalidada em reteste.
A Circular BCB nº 3.909/2018 ainda está em vigor?
Não. A Circular nº 3.909/2018, que tratava de política de segurança cibernética e contratação de nuvem para instituições de pagamento, foi revogada pela Resolução BCB nº 85/2021. As instituições de pagamento seguem hoje a Resolução BCB nº 85/2021 e as exigências trazidas pela Resolução BCB nº 538/2025. Referências à Circular 3.909 em políticas internas indicam documentação desatualizada.
Qual foi o prazo de adequação às novas regras?
As instituições já em funcionamento na entrada em vigor das normas tiveram até 1º de março de 2026 para concluir as adaptações. Instituições que ainda não fecharam o ciclo — teste de intrusão independente executado, plano de ação em curso e evidências arquivadas — estão em atraso regulatório e devem priorizar a regularização, documentando o plano de remediação e as datas efetivas.
Como me preparo para uma inspeção do Banco Central?
Monte a trilha documental antes de ser solicitada: política de segurança cibernética na redação vigente, inventário de sistemas críticos, escopo e relatório do teste de intrusão anual, evidência da independência de quem executou, plano de ação com responsáveis e prazos, comprovação de reteste, plano de resposta a incidentes com registro de exercícios, avaliações de terceiros e contratos de nuvem. A Berghem executa o teste e entrega o pacote de evidência já organizado nesse formato.
Comece agora
Precisa fechar o ciclo de adequação BACEN?
Fale com um consultor sênior sobre o teste de intrusão anual independente, o pacote de evidências e o plano de remediação exigidos pelas Resoluções CMN 5.274 e BCB 538.