Resolução BCB 538/2025: Pentest Vira Obrigação Anual para Instituições Financeiras

Resoluções BCB 538/2025 e CMN 5.274/2025 tornam o pentest anual obrigatório para bancos e fintechs no Brasil. Veja quem precisa se adequar.

O Banco Central endureceu as regras de segurança cibernética para o sistema financeiro. Desde 1º de março de 2026, bancos, fintechs, instituições de pagamento e corretoras que não fazem teste de intrusão (pentest) anual e independente estão em desconformidade — com risco de sanção e, na prática, dificuldade para contratar seguro cibernético. Muita empresa do setor ainda não se adequou. Este post explica o que mudou, quem é afetado e onde a maioria erra na hora de se adequar.

O Que Mudou com as Resoluções CMN 5.274/2025 e BCB 538/2025

Em 18 de dezembro de 2025, o Conselho Monetário Nacional publicou a Resolução CMN nº 5.274/2025, alterando o arcabouço de segurança cibernética da Resolução CMN nº 4.893/2021. Junto veio a Resolução BCB nº 538/2025, ajustando as mesmas regras para instituições de pagamento e correlatas.

O ponto central para quem vende ou compra pentest: o teste de intrusão deixou de ser boa prática e virou controle mínimo obrigatório, com regras específicas de frequência, independência e retenção de documentação — não basta "ter feito um pentest alguma vez".

Quem Precisa se Adequar

As resoluções alcançam um espectro amplo do sistema financeiro:

  • Bancos e demais instituições autorizadas a funcionar pelo Banco Central
  • Instituições de pagamento (fintechs emissoras de conta e carteira digital)
  • Sociedades corretoras e distribuidoras de títulos e valores mobiliários
  • Sociedades corretoras de câmbio

Se a empresa se enquadra em uma dessas categorias, o teste de intrusão anual já é exigência regulatória — não apenas recomendação de mercado, como era até 2025.

O Que o Teste de Intrusão Precisa Cobrir

A resolução não deixa o escopo em aberto. Os pontos que o Banco Central cobra na prática:

  1. Periodicidade mínima anual — um teste por ano, no mínimo, não uma varredura pontual quando "sobra orçamento".
  2. Avaliador independente — quem testa não pode ser quem opera ou implementa o ambiente. Equipe interna de TI rodando seu próprio scanner não atende ao requisito.
  3. Escopo além do perímetro próprio — o teste precisa contemplar também ativos de terceiros usados na infraestrutura crítica, como softwares e serviços contratados de fornecedores.
  4. Documentação formal do resultado — relatório técnico com as vulnerabilidades encontradas, não uma lista solta de achados.
  5. Plano de ação para mitigação — cada vulnerabilidade relevante precisa de um plano de correção associado, não só o apontamento do risco.
  6. Retenção por 5 anos — resultados e planos de ação precisam ficar à disposição do Banco Central por cinco anos.

O Que "Independente" Significa na Prática

Esse é o ponto onde mais instituição tropeça. Independência aqui quer dizer separação clara entre quem constrói/opera o ambiente e quem o avalia. Um time de segurança interno pode rodar scanners de vulnerabilidade continuamente — isso é bom e deve continuar —, mas não substitui o teste de intrusão exigido pela resolução, porque não há separação de interesses entre quem manteve o sistema e quem o testou.

Na prática, isso empurra as instituições para contratar um pentest externo, executado por empresa ou profissional sem vínculo operacional com o ambiente testado.

Erros Comuns na Hora de Se Adequar

  • Confundir varredura automatizada com teste de intrusão. Um scanner aponta CVEs conhecidas; não explora cadeias de vulnerabilidade nem valida impacto real — que é o que a resolução espera de um teste de intrusão.
  • Testar só a aplicação principal e ignorar terceiros. A resolução cobra cobertura de ativos de terceiros usados na infraestrutura crítica — um fornecedor de software mal testado deixa a instituição exposta mesmo assim.
  • Não formalizar o plano de ação. Relatório sem plano de correção documentado não atende ao requisito, mesmo que o teste em si tenha sido bem executado.
  • Deixar para os últimos meses do ciclo anual. Empresas de pentest sérias têm agenda; contratar em cima da hora reduz o tempo de reteste e a qualidade da correção antes do próximo ciclo de auditoria.

O Pentest Também Virou Pré-Requisito de Seguro Cibernético

A regulação não é o único lado pressionando por testes de intrusão anuais. Seguradoras que vendem seguro cibernético — cada vez mais comum na lista de exigências de bancos, investidores e grandes clientes B2B — já pedem evidência de avaliações ofensivas contínuas antes de emitir ou renovar apólice. Uma instituição financeira que já faz o teste de intrusão por exigência do Banco Central resolve as duas frentes com o mesmo contrato: atende o regulador e reduz o custo (ou viabiliza) a contratação do seguro.

Como a LDL Security Ajuda Instituições Financeiras

A LDL Security já atende empresas que processam pagamentos e precisam de conformidade — veja como isso funcionou na prática no post sobre PCI DSS 4.0.1. Nossos testes de intrusão são conduzidos manualmente por quem tem OSCP e CEH — e é sempre quem executou o teste que assina o relatório, sem terceirização para júnior rodando scanner. Isso atende diretamente o requisito de independência e profundidade técnica que a Resolução BCB 538/2025 exige.

Cada teste sai com relatório técnico, sumário executivo e plano de ação por vulnerabilidade, mais 30 dias de suporte com reteste incluso — o que cobre o requisito de documentação e mitigação da resolução em um único contrato. Se você ainda está avaliando fornecedores, vale ler também 7 Critérios Essenciais para Escolher uma Empresa de Pentest antes de fechar com alguém.

Fale com a LDL Security sobre Compliance