Setores e normas · 4 min de leitura
Resolução BCB 85: segurança cibernética para fintechs
O que a Resolução BCB 85 exige de instituições de pagamento e corretoras: política, plano, relatório anual, 14 controles e teste de intrusão.
Por Jean Pierre · Publicado em
Resposta rápida
A Resolução BCB 85/2021 obriga instituições de pagamento, corretoras e distribuidoras de valores, corretoras de câmbio e prestadoras de serviços de ativos virtuais autorizadas pelo Banco Central a manter política de segurança cibernética, plano de resposta, diretor responsável e relatório anual. Desde a Resolução BCB 538/2025, a lista de controles mínimos tem 14 itens e o teste de intrusão independente é anual. Proteção de endpoint cobre parte dos controles; política, teste de intrusão, rede e backup ficam fora do portfólio da Codlinx.
Instituições de pagamento e demais instituições autorizadas pelo Banco Central têm uma obrigação própria de segurança cibernética: a Resolução BCB 85, de 2021, alterada em 2024, 2025 e 2026. Este guia resume o que o texto pede, já com a redação trazida pela Resolução BCB 538/2025, e mostra onde a proteção de endpoint ajuda.
Não é parecer jurídico. A norma muda de tempos em tempos, e a instituição deve conferir a versão vigente no site do Banco Central antes de decidir qualquer coisa.
A quem a norma se aplica
A resolução vale para instituições de pagamento, sociedades corretoras e distribuidoras de títulos e valores mobiliários, sociedades corretoras de câmbio e sociedades prestadoras de serviços de ativos virtuais autorizadas a funcionar pelo Banco Central. Bancos, cooperativas de crédito e demais instituições financeiras seguem a Resolução CMN 4.893, com controles equivalentes.
Na prática, isso significa que uma fintech de pagamentos e uma corretora têm o mesmo tipo de obrigação, proporcional ao porte, ao perfil de risco e à sensibilidade dos dados que tratam. O tamanho da instituição muda a profundidade dos controles, não a existência deles.
O que a instituição precisa manter
Há cinco entregas. A política de segurança cibernética é aprovada pelo conselho de administração ou, na falta dele, pela diretoria, e revisada ao menos uma vez por ano. O plano de ação e de resposta a incidentes descreve rotinas, procedimentos e tecnologias de prevenção e resposta. A instituição também designa um diretor responsável pela política e pela execução do plano.
A quarta é o relatório anual, com data-base de 31 de dezembro e apresentação até 31 de março, trazendo a efetividade das ações, os incidentes relevantes, os testes de continuidade e os resultados dos testes de intrusão e das análises de vulnerabilidades. A quinta é o teste de intrusão independente, ao menos uma vez por ano. Os documentos ficam à disposição do Banco Central por cinco anos.
Os controles mínimos
O art. 3º, § 2º, lista 14 controles mínimos: autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamento de informações, proteção contra softwares maliciosos, avaliação e correção de vulnerabilidades, proteção da rede, rastreabilidade, controles de acesso, cópias de segurança, perfis de configuração segura, gestão de certificados digitais, integração de sistemas por interfaces eletrônicas e ações de inteligência no ambiente cibernético.
Nem todos são de endpoint. A tabela abaixo mostra, sem rodeios, onde uma proteção gerenciada nas estações e servidores ajuda e o que fica com outros fornecedores.
| Controle | Onde a proteção de endpoint ajuda |
|---|---|
| Proteção contra softwares maliciosos | Antimalware e anti-ransomware em estações e servidores |
| Prevenção e detecção de intrusão | EDR (GravityZone Enterprise) e, sem equipe própria, MDR |
| Vulnerabilidades e correções | Análise de risco e Patch Management (módulo à parte) |
| Criptografia | Full Disk Encryption (módulo à parte) |
| Rastreabilidade | Linha do tempo de eventos do EDR; trilhas de transação ficam nos sistemas |
| Rede, backup, certificados, inteligência | Fora do portfólio da Codlinx: indicamos parceiros |
Pix, STR e prestadores
O art. 3º-A cria requisitos adicionais para a comunicação eletrônica de dados na Rede do Sistema Financeiro Nacional: múltiplos fatores de autenticação no acesso administrativo aos ambientes Pix e STR, isolamento físico e lógico desses ambientes, controle de credenciais e certificados e proibição de acesso de prestadores às chaves privadas usadas na assinatura de mensagens.
Quem contrata serviços relevantes de processamento, armazenamento ou nuvem precisa verificar a capacidade do prestador, documentar a verificação e comunicar a contratação ao Banco Central. O serviço prestado para a RSFN é considerado relevante. Por isso, o fornecedor de TI também precisa deixar claro o que entrega e o que não entrega.
Como começar pelo endpoint
Comece pelo inventário de estações, notebooks e servidores, depois cubra todos com gestão central, de modo que exista evidência de cobertura e de atualização. Em seguida, feche as lacunas de acesso, com MFA nos acessos externos e administrativos, e de correções, com aplicação regular de patches.
Por fim, guarde as evidências. Os relatórios do console e o registro de incidentes alimentam o relatório anual e a auditoria. A página de segurança para instituições de pagamento detalha o que a Codlinx entrega e o que fica de fora, e o diagnóstico gratuito mapeia o parque atual.