Quatro números aparecem nas conversas sobre pentest no Banco Central: CMN 4.893, BCB 85, BCB 538 e BCB 498. Este guia mostra qual deles se aplica ao seu tipo de instituição e o que cada um pede.
Sendo exato sobre as normas: não existe uma única regra do Banco Central sobre teste de intrusão. A Resolução CMN 4.893/2021, alterada pela CMN 5.274/2025, vale para as instituições autorizadas pelo Banco Central que não estejam excluídas por ela, o que inclui bancos, financeiras e cooperativas de crédito. A Resolução BCB 85/2021, alterada pela BCB 538/2025, vale para as instituições de pagamento, corretoras e distribuidoras de títulos e valores mobiliários, corretoras de câmbio e, desde a BCB 552/2026, sociedades prestadoras de serviços de ativos virtuais. A BCB 538 não vale para cooperativas, que seguem a CMN 5.274. As duas alterações de dezembro de 2025 trazem a mesma regra: os testes de intrusão devem ter periodicidade mínima anual, ser feitos com independência e imparcialidade por pessoa ou empresa especializada contratada para isso, sem prejuízo de testes feitos pelo time interno, e ter os resultados documentados, com as vulnerabilidades encontradas e os planos de ação para corrigi-las. A BCB 498/2025 é de outra natureza: trata do credenciamento do Provedor de Serviços de Tecnologia da Informação, o PSTI, que presta serviço de acesso à rede do sistema financeiro, e pede testes de intrusão periódicos como parte da sua política de segurança, sem detalhar frequência ou independência no texto. A LDL realiza pentest manual, com relatório, evidência, plano de ação e reteste, que é o tipo de documentação que essas normas pedem. A norma não define quem pode ser contratado; essa escolha, e a leitura final da exigência, é da instituição e de sua área jurídica ou de compliance.
O que você recebe
- Pentest independente do escopo definido pela instituição, compatível com o ciclo anual
- Relatório documentado, com cada vulnerabilidade, a evidência e o impacto
- Plano de ação priorizado para corrigir o que foi encontrado
- Sumário executivo para diretoria, conselho e para o relatório anual de segurança cibernética
- Reteste das correções, com evidência para guardar junto à documentação
- Certificado de pentest verificável em /certificado, quando o escopo permitir
O que cobrimos
Instituições financeiras e cooperativas
Bancos, financeiras e cooperativas de crédito seguem a CMN 4.893, alterada pela CMN 5.274, que pede teste de intrusão anual, independente e documentado.
Instituições de pagamento e as da BCB 85
Instituições de pagamento, corretoras, distribuidoras, corretoras de câmbio e prestadoras de serviços de ativos virtuais seguem a BCB 85, alterada pela BCB 538, com a mesma regra do teste.
Provedor de serviço de TI credenciado (PSTI)
Quem presta serviço de acesso à rede do sistema financeiro se credencia pela BCB 498, e sua política de segurança deve prever testes de intrusão periódicos.
Fintechs que dependem de um PSTI
A norma do PSTI é obrigação do fornecedor. A fintech segue a norma da própria atividade, e vale pedir ao fornecedor a evidência de que ele cumpre a dele.
Indicado para
- Bancos, financeiras e cooperativas de crédito que precisam do teste anual e independente da CMN 5.274
- Instituições de pagamento e demais instituições da BCB 85 que se adaptam à BCB 538
- Provedores de serviços de TI credenciados ou em processo de credenciamento como PSTI
- Áreas de compliance que precisam descobrir qual norma vale para a sua instituição
Como conduzimos
Identificação da norma aplicável
Confirmamos com você o tipo de instituição e qual resolução vale, para que o teste e a documentação sigam a regra certa.
Definição do escopo
Combinamos os sistemas, ambientes e integrações que serão testados e as regras para proteger a operação.
Teste independente
Nosso time avalia o escopo de forma manual, com independência em relação ao time que opera os sistemas.
Relatório e plano de ação
Documentamos cada vulnerabilidade e o plano de correção em formato que o relatório anual e a fiscalização possam consultar.
Reteste
Depois das correções, repetimos os testes relevantes e registramos o que foi resolvido.
Perguntas Frequentes
Qual norma do Banco Central exige pentest para a minha instituição?
Depende do tipo de instituição. Bancos, financeiras e cooperativas de crédito seguem a Resolução CMN 4.893/2021, alterada pela CMN 5.274/2025. Instituições de pagamento, corretoras, distribuidoras e corretoras de câmbio seguem a Resolução BCB 85/2021, alterada pela BCB 538/2025. Quem presta serviço de acesso à rede do sistema financeiro como PSTI segue a BCB 498/2025.
A BCB 538 vale para cooperativas de crédito?
Não. A BCB 538 altera a BCB 85, que vale para instituições de pagamento, corretoras, distribuidoras, corretoras de câmbio e prestadoras de serviços de ativos virtuais. As cooperativas seguem a CMN 4.893, alterada pela CMN 5.274, que traz a mesma regra para o teste de intrusão.
O que a CMN 5.274 e a BCB 538 exigem sobre o teste de intrusão?
As duas incluem o art. 22-A, que pede três coisas: periodicidade mínima anual; realização com independência e imparcialidade por pessoa natural ou empresa especializada contratada pela instituição, sem prejuízo de testes feitos pela equipe própria; e documentação dos resultados, especialmente as vulnerabilidades encontradas e os planos de ação para corrigi-las. Os resultados e os planos também entram no relatório anual de segurança cibernética, e a documentação fica à disposição do Banco Central por cinco anos, contados da data do teste. A norma deu prazo até 1º de março de 2026 para as instituições se adaptarem.
A norma usa a palavra pentest e exige certificado?
O texto usa a expressão testes de intrusão, e não exige um certificado específico. Ele também não define quem pode ser contratado, quais ferramentas usar ou qual o escopo exato; esses pontos cabem à instituição, conforme o seu risco. O que a norma cobra é frequência, independência e documentação.
E o PSTI: precisa fazer teste anual e independente?
A BCB 498 pede, na política de segurança do PSTI, testes de intrusão periódicos, e o texto não fixa frequência anual nem exige independência, diferentemente da CMN 5.274 e da BCB 538. A instituição financeira que contrata o PSTI deve confirmar com o fornecedor como ele cumpre essa exigência.
Posso usar o time interno para o teste?
Pode, mas não só ele. A norma diz que o teste deve ser feito por pessoa ou empresa especializada contratada para isso, com independência e imparcialidade, e aceita que a instituição faça também testes por equipes próprias, que complementam o teste independente e não o substituem.