O Banco Central endureceu as regras de segurança cibernética para o sistema financeiro. Desde 1º de março de 2026, bancos, fintechs, instituições de pagamento e corretoras que não fazem teste de intrusão (pentest) anual e independente estão em desconformidade — com risco de sanção e, na prática, dificuldade para contratar seguro cibernético. Muita empresa do setor ainda não se adequou. Este post explica o que mudou, quem é afetado e onde a maioria erra na hora de se adequar.
O Que Mudou com as Resoluções CMN 5.274/2025 e BCB 538/2025
Em 18 de dezembro de 2025, o Conselho Monetário Nacional publicou a Resolução CMN nº 5.274/2025, alterando o arcabouço de segurança cibernética da Resolução CMN nº 4.893/2021. Junto veio a Resolução BCB nº 538/2025, ajustando as mesmas regras para instituições de pagamento e correlatas.
O ponto central para quem vende ou compra pentest: o teste de intrusão deixou de ser boa prática e virou controle mínimo obrigatório, com regras específicas de frequência, independência e retenção de documentação — não basta "ter feito um pentest alguma vez".
Quem Precisa se Adequar
As resoluções alcançam um espectro amplo do sistema financeiro:
- Bancos e demais instituições autorizadas a funcionar pelo Banco Central
- Instituições de pagamento (fintechs emissoras de conta e carteira digital)
- Sociedades corretoras e distribuidoras de títulos e valores mobiliários
- Sociedades corretoras de câmbio
Se a empresa se enquadra em uma dessas categorias, o teste de intrusão anual já é exigência regulatória — não apenas recomendação de mercado, como era até 2025.
O Que o Teste de Intrusão Precisa Cobrir
A resolução não deixa o escopo em aberto. Os pontos que o Banco Central cobra na prática:
- Periodicidade mínima anual — um teste por ano, no mínimo, não uma varredura pontual quando "sobra orçamento".
- Avaliador independente — quem testa não pode ser quem opera ou implementa o ambiente. Equipe interna de TI rodando seu próprio scanner não atende ao requisito.
- Escopo além do perímetro próprio — o teste precisa contemplar também ativos de terceiros usados na infraestrutura crítica, como softwares e serviços contratados de fornecedores.
- Documentação formal do resultado — relatório técnico com as vulnerabilidades encontradas, não uma lista solta de achados.
- Plano de ação para mitigação — cada vulnerabilidade relevante precisa de um plano de correção associado, não só o apontamento do risco.
- Retenção por 5 anos — resultados e planos de ação precisam ficar à disposição do Banco Central por cinco anos.
O Que "Independente" Significa na Prática
Esse é o ponto onde mais instituição tropeça. Independência aqui quer dizer separação clara entre quem constrói/opera o ambiente e quem o avalia. Um time de segurança interno pode rodar scanners de vulnerabilidade continuamente — isso é bom e deve continuar —, mas não substitui o teste de intrusão exigido pela resolução, porque não há separação de interesses entre quem manteve o sistema e quem o testou.
Na prática, isso empurra as instituições para contratar um pentest externo, executado por empresa ou profissional sem vínculo operacional com o ambiente testado.
Erros Comuns na Hora de Se Adequar
- Confundir varredura automatizada com teste de intrusão. Um scanner aponta CVEs conhecidas; não explora cadeias de vulnerabilidade nem valida impacto real — que é o que a resolução espera de um teste de intrusão.
- Testar só a aplicação principal e ignorar terceiros. A resolução cobra cobertura de ativos de terceiros usados na infraestrutura crítica — um fornecedor de software mal testado deixa a instituição exposta mesmo assim.
- Não formalizar o plano de ação. Relatório sem plano de correção documentado não atende ao requisito, mesmo que o teste em si tenha sido bem executado.
- Deixar para os últimos meses do ciclo anual. Empresas de pentest sérias têm agenda; contratar em cima da hora reduz o tempo de reteste e a qualidade da correção antes do próximo ciclo de auditoria.
O Pentest Também Virou Pré-Requisito de Seguro Cibernético
A regulação não é o único lado pressionando por testes de intrusão anuais. Seguradoras que vendem seguro cibernético — cada vez mais comum na lista de exigências de bancos, investidores e grandes clientes B2B — já pedem evidência de avaliações ofensivas contínuas antes de emitir ou renovar apólice. Uma instituição financeira que já faz o teste de intrusão por exigência do Banco Central resolve as duas frentes com o mesmo contrato: atende o regulador e reduz o custo (ou viabiliza) a contratação do seguro.
Como a LDL Security Ajuda Instituições Financeiras
A LDL Security já atende empresas que processam pagamentos e precisam de conformidade — veja como isso funcionou na prática no post sobre PCI DSS 4.0.1. Nossos testes de intrusão são conduzidos manualmente por quem tem OSCP e CEH — e é sempre quem executou o teste que assina o relatório, sem terceirização para júnior rodando scanner. Isso atende diretamente o requisito de independência e profundidade técnica que a Resolução BCB 538/2025 exige.
Cada teste sai com relatório técnico, sumário executivo e plano de ação por vulnerabilidade, mais 30 dias de suporte com reteste incluso — o que cobre o requisito de documentação e mitigação da resolução em um único contrato. Se você ainda está avaliando fornecedores, vale ler também 7 Critérios Essenciais para Escolher uma Empresa de Pentest antes de fechar com alguém.
Fale com a LDL Security sobre Compliance →