Desde 5 de setembro de 2025, o provedor de tecnologia que liga uma instituição à Rede do Sistema Financeiro Nacional (RSFN) precisa ser credenciado pelo Banco Central. A regra está na Resolução BCB 498/2025, ajustada em janeiro de 2026 pela Resolução BCB 547, e chegou junto com um limite de R$ 15 mil por Pix e por TED para quem acessa a rede por meio desses provedores, os PSTI.

Este guia resume o que a norma exige do provedor, o que sobra para a fintech que contrata o serviço e onde o teste de intrusão aparece. É um resumo para orientar a conversa entre tecnologia, compliance e diretoria; o texto das normas é sempre a referência.

O que é um PSTI

PSTI é a sigla de Provedor de Serviços de Tecnologia da Informação. Na definição da resolução, é a entidade credenciada para prestar serviços de processamento de dados, para fins de acesso à RSFN, a instituições financeiras e demais instituições supervisionadas pelo Banco Central. Na prática, é quem transporta as mensagens de Pix, TED e outros serviços de instituições que não mantêm conexão própria com a rede.

O risco desse modelo é a concentração: o mesmo provedor atende várias instituições, e uma falha nele alcança todas. Em 2025, ataques a provedores desse tipo terminaram em desvios milionários de contas de instituições, um caso extremo de ataque à cadeia de fornecedores. O Banco Central respondeu com um pacote de normas publicado em 5 de setembro de 2025, do qual a Resolução BCB 498 é a peça central.

O limite de R$ 15 mil no Pix e na TED

Duas resoluções do mesmo dia criaram um teto por transação para quem depende de PSTI:

• Pix: a Resolução BCB 496/2025 alterou o regulamento do Pix. Quando o participante se conecta à RSFN por intermédio de um PSTI, o limite por transação é de, no máximo, R$ 15 mil. O mesmo teto vale para instituições de pagamento que participam do Pix e ainda não foram autorizadas pelo Banco Central.
• TED: a Resolução BCB 497/2025 proibiu a emissão de TED a favor de cliente, de valor igual ou superior a R$ 15 mil, por instituição que se conecta à RSFN por meio de PSTI.

O limite deixa de valer quando duas condições são cumpridas ao mesmo tempo:

No Pix, o teto também não se aplica a transações destinadas à Secretaria do Tesouro Nacional e ao pagamento da guia do FGTS Digital, exceções incluídas pela Resolução BCB 503/2025. E o Banco Central pode dispensar o limite por até 90 dias, a pedido da instituição, se ela apresentar garantias e as medidas de segurança que já adotou.

O que o PSTI precisa ter para ser credenciado

O art. 3º da resolução, na redação dada pela BCB 547/2026, lista os requisitos. Os que mais pesam:

• Capital social realizado e patrimônio líquido de pelo menos R$ 15 milhões. O Banco Central pode exigir mais, conforme o volume de operações, a quantidade de clientes e o perfil de risco.
• Certificação de segurança da informação em norma reconhecida internacionalmente.
• Auditoria independente contratada para avaliações anuais de segurança da informação, com os relatórios fornecidos ao Banco Central e às instituições contratantes.
• Seguro de responsabilidade civil e de riscos operacionais, incluindo incidentes de fraude e de segurança cibernética.
• Governança: diretores responsáveis por segurança da informação e cibernética, por riscos e compliance, pelo relacionamento com o Banco Central e pela gestão de crises, além de um comitê de gestão de crises operacionais.
• Segregação das atividades e dos ambientes usados no acesso à RSFN em relação aos demais serviços do provedor.
• Continuidade: centro de processamento secundário, sujeito a riscos diferentes dos do principal, e planos testados ao menos uma vez por ano.

Não podem ser PSTI as operadoras de comunicação e os prestadores contratados para operar e monitorar a própria RSFN, nem as instituições supervisionadas pelo Banco Central, que só podem prestar esse serviço a empresas do mesmo grupo econômico.

Os controles de segurança que a norma lista

O art. 17 detalha o conteúdo mínimo da política de segurança do provedor. Em linguagem direta:

• Autenticação em múltiplos fatores para acesso à rede corporativa a partir de fora e, sempre, no acesso administrativo aos ambientes Pix e STR.
• Isolamento físico e lógico dos ambientes Pix e STR em relação aos demais sistemas quando o provedor também fornece software como serviço a participantes, com instância dedicada se houver uso de nuvem pública.
• Rastreabilidade: trilhas de auditoria de ponta a ponta, guardadas com segurança e acessíveis às instituições clientes para conciliação.
• Proteção de rede: regras de firewall, monitoramento de conexões com ambientes externos e tratamento de eventos atípicos, como abertura de VPN e tentativa de acesso privilegiado, especialmente à noite.
• Chaves e certificados: o PSTI não deve ter acesso às chaves privadas usadas para assinar as mensagens, e precisa monitorar o uso de certificados digitais.
• Integração por API: requisitos de segurança para os clientes, monitoramento de uso atípico e mecanismos para detectar tentativa de uso indevido e de extração de dados.
• Inteligência cibernética: monitorar credenciais, chaves e vulnerabilidades de interesse na internet, na deep web e na dark web, além de grupos privados de comunicação. É o trabalho descrito em como monitorar a empresa na dark web.
• Avaliação e correção de vulnerabilidades, com análises periódicas e testes de intrusão.

A política de fraudes, tratada no art. 25, pede monitoramento em tempo integral para identificar transações atípicas em tempo real e um mecanismo que interrompa o fluxo completo de transações em caso de suspeita grave. Incidentes que possam comprometer o serviço devem ser comunicados ao Banco Central imediatamente, com relatório em até dez dias.

Onde o teste de intrusão aparece

Em três pontos, e vale separar cada um:

• Na política de segurança do PSTI. A avaliação de vulnerabilidades exigida pelo art. 17 deve contemplar "testes de intrusão periódicos". A resolução não fixa a frequência.
• No pedido de credenciamento. A Instrução Normativa BCB 718/2026, que lista os documentos do pedido, inclui os relatórios dos testes de intrusão realizados nos últimos 12 meses.
• Na instituição que contrata o PSTI. Se ela é autorizada pelo Banco Central, o teste de intrusão anual e independente vem das Resoluções CMN 5.274/2025 e BCB 538/2025, explicadas em pentest como obrigação anual para instituições financeiras.

Nenhuma dessas normas define o que testar. O que os ataques a provedores ensinaram é que o teste precisa seguir o caminho do dinheiro: credenciais de operadores e de terceiros, acesso remoto, a fronteira entre a rede corporativa e os ambientes Pix e STR, as APIs de integração com os clientes e a guarda dos certificados. É o escopo de um pentest de infraestrutura combinado com o teste das APIs, e não de uma varredura automática.

O que sobra para a instituição que contrata o PSTI

Contratar um provedor credenciado não transfere a responsabilidade. O art. 35 dá à instituição contratante uma lista de deveres:

• contratar apenas PSTI credenciado e garantir que o contrato traga as obrigações da resolução;
• monitorar continuamente se o provedor segue os requisitos de governança, gestão de riscos, segurança cibernética, gestão de fraudes e continuidade;
• implementar os controles de segurança que o PSTI estabelece para o uso do serviço;
• manter a posse das próprias chaves privadas e validar a integridade das transações antes de assinar;
• não usar o mesmo certificado em ambientes diferentes, como homologação e produção, nem em funções diferentes, como assinatura de mensagens e canal do Pix;
• guardar a documentação de contratação e de monitoramento do provedor, inclusive relatórios de auditoria e de testes de continuidade;
• comunicar de imediato ao Banco Central falhas relevantes ou descumprimentos do provedor.

O descumprimento sujeita a própria instituição a sanções. E a regra geral de contratação de serviços de tecnologia continua valendo: pela Resolução CMN 4.893/2021 e pela Resolução BCB 85/2021, a instituição contratante responde pela segurança e pelo sigilo dos serviços que terceiriza.

O que pedir ao seu PSTI

Para a fintech, "monitorar continuamente" precisa virar rotina com evidência. Uma lista de partida:

• comprovante de que o credenciamento foi concluído;
• certificação de segurança da informação vigente, com o escopo coberto;
• relatório da avaliação anual feita pela auditoria independente;
• resumo do último teste de intrusão, com o plano de ação e a situação das correções;
• descrição de como o ambiente Pix fica isolado dos demais sistemas;
• forma de acesso às trilhas de auditoria para conciliação;
• canal e prazos de aviso em caso de fraude ou incidente;
• resultado do último teste de continuidade.

Do lado de dentro, a instituição precisa conseguir demonstrar os controles que derrubam o limite de R$ 15 mil. Vale testar antes da auditoria: um teste independente ajuda a verificar se a chave privada está mesmo fora do alcance do provedor e se uma transação alterada no caminho seria barrada antes da assinatura.

Linha do tempo

A LDL Security faz o teste de intrusão independente para instituições autorizadas pelo Banco Central e para empresas de tecnologia que atendem o setor, com relatório, plano de ação e reteste. Veja como funciona o pentest para fintechs.

Perguntas Frequentes

O que é PSTI?

É o Provedor de Serviços de Tecnologia da Informação: a empresa credenciada pelo Banco Central para prestar serviços de processamento de dados que dão a instituições financeiras e de pagamento acesso à Rede do Sistema Financeiro Nacional (RSFN).

Fintech que usa PSTI pode fazer Pix acima de R$ 15 mil?

Só se o PSTI tiver concluído o credenciamento no Banco Central e a instituição comprovar, por relatório de auditoria independente registrada na CVM, que não compartilha as chaves privadas com o provedor, valida a integridade das transações antes de assinar e usa certificados separados por ambiente e por função.

A Resolução BCB 498 exige pentest?

Do PSTI, sim: a política de segurança deve contemplar testes de intrusão periódicos, e os relatórios dos últimos 12 meses entram no pedido de credenciamento. Para a instituição contratante autorizada pelo Banco Central, o teste anual e independente vem das Resoluções CMN 5.274/2025 e BCB 538/2025.

Qual é o capital mínimo de um PSTI?

Capital social realizado e patrimônio líquido de pelo menos R$ 15 milhões. O Banco Central pode exigir valor maior, proporcional ao volume de operações, à quantidade de clientes e ao perfil de risco do provedor.

Contratar um PSTI credenciado resolve a responsabilidade da fintech?

Não. A instituição contratante precisa monitorar o provedor continuamente, manter a posse das próprias chaves, guardar a documentação e avisar o Banco Central sobre falhas relevantes. O descumprimento gera sanção para ela, não só para o provedor.