Resolução Bcb 4893 Checklist Conformidade nos Bancos

A Resolução BCB nº 4.893/2021 obriga instituições financeiras e de pagamento autorizadas pelo Banco Central a manter uma política de segurança cibernética formal, com governança definida, classificação de ativos críticos e plano de resposta a incidentes testado na prática. Não basta ter o documento assinado pela diretoria.

A maioria das instituições fiscalizadas até aqui falha não na redação da política, mas na operacionalização dela: testes de continuidade que nunca aconteceram, inventário de terceiros desatualizado, prazos de notificação de incidente descumpridos. É essa lacuna entre papel e prática que este checklist mapeia.

O objetivo deste artigo é permitir que um gerente de compliance ou CISO audite a própria instituição antes que o Banco Central o faça, usando os critérios que as fiscalizações recentes vêm cobrando.

Resumo

• A Resolução BCB 4.893/2021 exige política de segurança cibernética formal com governança, classificação de ativos, gestão de incidentes e gestão de terceiros, aplicável a bancos, fintechs, IPs e cooperativas de crédito autorizados pelo Banco Central.
• As falhas mais comuns identificadas em fiscalizações não estão na existência do documento de política, mas na ausência de testes de invasão recorrentes, PARI não exercitado e inventário incompleto de fornecedores críticos.
• A Resolução Conjunta BCB/CMN nº 6/2021 complementa a 4.893 ao exigir due diligence, cláusulas contratuais específicas e plano de continuidade para terceirização de serviços relevantes, incluindo provedores de nuvem. Sob a ótica da LGPD, esses mesmos contratos devem também definir o papel do fornecedor como operador (art. 5º, VII) e da instituição financeira como controladora (art. 5º, VI), prevendo instruções de tratamento, obrigação de comunicar incidentes ao controlador (art. 48, §1º) e responsabilidade solidária em caso de descumprimento (art. 42, §1º).
• Incidentes cibernéticos relevantes devem ser comunicados ao Banco Central dentro de prazo normativo definido, com registro estruturado do evento; a notificação tardia ou omissa é um dos pontos mais recorrentes de autuação.
• A integração entre conformidade com a 4.893 e com a LGPD evita duplicidade de esforço e, mais importante, assegura que os titulares de dados afetados, não apenas os reguladores, sejam devidamente informados e tenham seus direitos preservados, já que incidente de segurança cibernética e incidente de dados pessoais frequentemente são o mesmo evento, com obrigações de comunicação que vão além do Banco Central e da ANPD.

O que é a Resolução BCB 4.893 e quem precisa cumpri-la?

A Resolução 4.893/2021 determina que instituições autorizadas a funcionar pelo Banco Central mantenham política de segurança cibernética formal, com responsável designado, testes periódicos e plano de resposta a incidentes documentado. Ela revoga a Resolução CMN nº 4.658/2018 e amplia o escopo da política de segurança cibernética e de requisitos para contratação de serviços de processamento, armazenamento de dados e computação em nuvem, consolidando e atualizando o tema sob a nova estrutura regulatória do BC.

O alcance da norma é amplo. Segundo a Relação de Instituições em Funcionamento do Banco Central, milhares de instituições financeiras, de pagamento e cooperativas de crédito operam sob autorização do BC e, portanto, estão sujeitas à 4.893, não apenas os grandes bancos de varejo.

É comum confundir a 4.893 com a norma que trata de terceirização. Não são a mesma coisa. A Resolução Conjunta BCB/CMN nº 6/2021 regula especificamente contratação de serviços relevantes de terceiros e computação em nuvem, funcionando como complemento obrigatório, não substituto, da política de segurança cibernética exigida pela 4.893.

Na prática, instituições de menor porte tendem a tratar a 4.893 como exigência isolada de TI, quando na verdade ela cruza três áreas que raramente conversam entre si no organograma: segurança da informação, risco operacional e jurídico de contratos. Essa fragmentação organizacional é, em nossa leitura de processos de auditoria, a raiz de boa parte das não conformidades identificadas.

Quais são os pilares obrigatórios da política de segurança cibernética?

A norma estrutura a política de segurança cibernética em quatro pilares: governança com responsável formal, classificação de dados e sistemas por criticidade, gestão de incidentes com plano de resposta testável e gestão de riscos de terceiros. Cada pilar exige evidência documental própria, não apenas menção textual na política.

A governança precisa nomear um diretor estatutário responsável pela política de segurança cibernética, com reporte direto à alta administração. Essa figura é distinta do encarregado de dados pessoais (DPO) exigido pelo art. 41 da LGPD, cuja função é especificamente atender titulares de dados e se comunicar com a ANPD; instituições que tratam dados pessoais devem designar ambos os papéis, ainda que possam estar sob a mesma estrutura de governança. Esse ponto costuma ser negligenciado: muitas instituições indicam um gerente técnico como responsável de fato, mas mantêm no papel um diretor que nunca participa das decisões operacionais de segurança. Em fiscalização, essa dissociação entre responsabilidade formal e prática é facilmente identificável.

A classificação de ativos e dados sensíveis é o segundo pilar e talvez o mais subestimado. Sem um inventário atualizado de sistemas críticos e dados sensíveis, é impossível demonstrar que os controles de segurança foram dimensionados de forma proporcional ao risco, e também impossível assegurar que princípios de minimização, finalidade e necessidade da LGPD sejam respeitados na coleta e retenção desses dados, especialmente quando envolvem categorias sensíveis.

Quais são os 10 itens do checklist que o Banco Central mais cobra?

Fiscalizações recentes do Banco Central mostram que a maioria das falhas se concentra em três frentes: gestão de terceiros, testes de continuidade não realizados e documentação de incidentes incompleta, raramente na ausência formal da política de segurança cibernética em si. Isto é: as instituições têm o papel, mas não o processo.

Segue o checklist verificável, item a item, organizado pela ordem em que costuma ser cobrado em fiscalização:

1. Política de segurança cibernética aprovada pela diretoria, com data de revisão nos últimos 12 meses.
2. Diretor responsável formalmente designado, com evidência de envolvimento ativo (atas, relatórios).
3. Inventário de ativos e dados críticos atualizado e classificado por nível de risco.
4. PARI documentado e testado nos últimos 12 meses, com registro do exercício (não só o plano no papel).
5. Registro estruturado de incidentes dos últimos 24 meses, incluindo os considerados não relevantes.
6. Inventário de terceiros relevantes, com classificação de criticidade e due diligence documentada.
7. Cláusulas contratuais de segurança exigidas pela Resolução Conjunta 6 presentes nos contratos vigentes.
8. Plano de continuidade de negócios integrado ao PARI, não tratado como documento separado e desconectado.
9. Evidência de testes de invasão (pentest) recorrentes, com plano de remediação de vulnerabilidades encontradas.
10. Treinamento e conscientização de colaboradores registrado, com frequência mínima anual.

A diferença entre “ter o documento” e “operacionalizar o controle” é exatamente o que separa uma instituição em conformidade formal de uma em conformidade material. Em fiscalização, o Banco Central costuma solicitar evidências de execução, como atas de simulação de incidente, relatórios de pentest com plano de ação e logs de treinamento, não apenas o texto da política.

Item do checklist	Documento esperado	Evidência cobrada em fiscalização
PSC aprovada	Documento formal assinado	Ata de aprovação + data de revisão
PARI	Plano de resposta a incidentes	Registro de simulação/teste executado
Gestão de terceiros	Inventário + due diligence	Contrato com cláusulas específicas
Testes de invasão	Relatório de pentest	Plano de remediação com prazos
Treinamento	Programa de conscientização	Lista de presença/certificado

Qual o prazo e o formato para notificar um incidente ao Banco Central?

A instituição deve comunicar ao Banco Central incidentes cibernéticos considerados relevantes dentro do prazo estabelecido pela norma, com registro estruturado do evento, impacto estimado e medidas de resposta adotadas. O critério de relevância considera volume de dados afetados, duração da indisponibilidade e risco à continuidade dos serviços financeiros.

O canal de comunicação é formal, via supervisão do BC responsável pela instituição, e exige descrição técnica do incidente, não apenas aviso genérico. Instituições que notificam com atraso ou de forma incompleta não apenas agravam sua exposição em eventual processo administrativo sancionador, como também violam o direito dos titulares e da sociedade de serem informados tempestivamente sobre riscos a seus dados e à continuidade de serviços financeiros essenciais.

A notificação tardia ou omissa é, segundo relatos de processos de supervisão, um dos pontos mais recorrentes de questionamento pelo BC, mais frequente até do que a ausência do próprio incidente documentado. Isso reforça que o problema estrutural não é a falta de detecção, mas a ausência de um fluxo interno claro entre a equipe técnica que identifica o incidente e a área responsável por formalizar a comunicação regulatória.

Para entender como esse fluxo se conecta com outras obrigações de notificação, veja a comparação entre notificação de incidentes de segurança sob LGPD e sob regras do Banco Central, já que muitas instituições mantêm processos duplicados e desalinhados para o mesmo evento.

Como a terceirização e a nuvem são tratadas pela norma?

A Resolução Conjunta BCB/CMN nº 6/2021 complementa a 4.893 exigindo due diligence formal, cláusulas contratuais específicas de segurança e plano de continuidade para serviços classificados como relevantes contratados de terceiros, incluindo provedores de infraestrutura em nuvem. Quando esses provedores envolverem transferência internacional de dados pessoais (ex.: servidores ou suporte técnico no exterior), a instituição deve ainda observar as hipóteses e salvaguardas do art. 33 da LGPD, como cláusulas-padrão contratuais, normas corporativas globais ou mecanismos de certificação reconhecidos pela ANPD. A terceirização não transfere a responsabilidade regulatória, ela permanece da instituição contratante.

A norma distingue serviços relevantes de não relevantes com base no impacto que uma falha do fornecedor teria sobre a continuidade do negócio. Serviços relevantes exigem, entre outros pontos, cláusulas contratuais que assegurem ao Banco Central acesso a informações, dados e documentação necessários à supervisão, mecanismos de auditoria pela instituição contratante e plano de contingência documentado para troca de fornecedor.

Um ponto frequentemente ignorado é a subcontratação em cascata: o fornecedor de nuvem contratado pela instituição pode, por sua vez, subcontratar outros serviços críticos sem que a instituição financeira tenha visibilidade completa da cadeia. A norma exige que esse risco seja mapeado, não apenas no primeiro nível de contrato.

Em projetos de auditoria de conformidade que acompanhamos, o gap mais comum na gestão de terceiros não é a ausência de cláusula contratual, mas a falta de um processo recorrente de reavaliação. A instituição assina o contrato com a cláusula correta no dia zero, mas nunca mais revisita o fornecedor para checar se ele ainda cumpre os requisitos dois ou três anos depois.

Quais sanções o Banco Central aplica em caso de não conformidade?

O Banco Central pode aplicar advertência, multa pecuniária e, em casos mais graves, restrições operacionais à instituição não conforme, com base nos poderes de supervisão e no regime sancionador previstos na legislação do Sistema Financeiro Nacional e nos normativos correlatos de segurança cibernética, incluindo os dispositivos específicos da própria Resolução BCB 4.893. O histórico de ações de supervisão sobre o tema vem crescendo desde 2022.

O custo de um incidente de dados no setor financeiro brasileiro vai muito além da multa regulatória. Segundo o Cost of a Data Breach Report da IBM, o setor financeiro figura consistentemente entre os segmentos com maior custo médio por incidente, considerando detecção, contenção, notificação e perda de negócios.

Casos públicos de enforcement do BC ainda são divulgados de forma limitada em comparação com a ANPD, mas o volume de processos administrativos sancionadores relacionados a falhas de governança e segurança cibernética tem aumentado, conforme indicam os Relatórios de Estabilidade Financeira do Banco Central. Além do impacto reputacional e financeiro para a instituição, o dano mais grave de um incidente mal gerido recai sobre os titulares de dados, que podem sofrer fraudes, golpes e perda de controle sobre suas informações pessoais, o que reforça a importância de medidas de remediação centradas na proteção das pessoas afetadas, e não apenas na mitigação de risco reputacional.

Resolução 4.893 e LGPD: como integrar os dois programas de conformidade?

Os programas de conformidade com a Resolução 4.893 e com a LGPD se sobrepõem na gestão de incidentes e na proteção de dados, mas atendem reguladores diferentes, Banco Central e ANPD, com prazos e critérios de notificação distintos que exigem mapeamento cruzado de controles para evitar duplicidade.

Na prática, um incidente que expõe dados de clientes de uma instituição financeira pode configurar, simultaneamente, um incidente de segurança cibernética sob a 4.893 e um incidente de segurança com dados pessoais sob a LGPD; neste último caso, a comunicação à ANPD e ao titular é devida apenas quando o incidente acarretar risco ou dano relevante aos titulares, nos termos do art. 48 da LGPD, não a todo e qualquer evento. Isso significa dois fluxos de notificação, com critérios de relevância distintos; a comunicação ao Banco Central segue prazo normativo específico, enquanto a comunicação à ANPD e aos titulares, nos termos do art. 48 da LGPD, deve ocorrer em prazo razoável, conforme definido pela autoridade nacional, o que exige atenção redobrada para não equiparar os dois regimes como se tivessem prazos numéricos idênticos.

A recomendação prática é mapear, dentro do mesmo plano de resposta a incidentes, qual gatilho aciona cada notificação regulatória, evitando que a equipe técnica tenha que decidir, no calor do incidente, qual norma se aplica primeiro. Esse mapeamento cruzado reduz o risco de notificação tardia a um dos dois reguladores.

A ANPD já aplicou sanções a instituições em diferentes setores por falhas relacionadas a incidentes de dados, reforçando que a exposição regulatória de uma instituição financeira não se limita ao Banco Central. Para um programa de conformidade mais robusto, muitas instituições utilizam a ISO 27001 como base estrutural para atender simultaneamente exigências regulatórias do setor financeiro, já que o framework cobre boa parte dos controles técnicos de segurança da informação exigidos pela 4.893 e também contribui para as medidas de segurança técnicas e administrativas exigidas pelo art. 46 da LGPD, sem, contudo, substituir as demais obrigações legais de conformidade com a LGPD, como bases legais de tratamento, atendimento aos direitos dos titulares e governança de privacidade.

Perguntas Frequentes

O que é a Resolução BCB 4.893?
É a norma do Banco Central que obriga instituições financeiras e de pagamento autorizadas a manter uma política de segurança cibernética formal, com governança definida, classificação de dados críticos, gestão de incidentes e gestão de riscos de terceiros.

Quem é obrigado a seguir a Resolução 4.893?
Bancos, fintechs, instituições de pagamento, cooperativas de crédito e sociedades de crédito autorizadas a funcionar pelo Banco Central, conforme relação disponível nos registros oficiais do BC.

Qual a diferença entre a Resolução 4.893 e a Resolução Conjunta 6?
A 4.893 trata da política de segurança cibernética em geral; a Resolução Conjunta BCB/CMN nº 6 trata especificamente da contratação de serviços relevantes de terceiros e computação em nuvem, complementando a primeira.

Quanto tempo a instituição tem para notificar um incidente cibernético ao BC?
A norma exige que a comunicação ao Banco Central seja feita o mais rápido possível após a identificação do incidente relevante, cabendo à instituição formalizar internamente critérios objetivos de relevância e um fluxo de escalonamento que minimize o tempo entre detecção e notificação; o texto oficial da resolução deve ser consultado para os critérios de relevância vigentes.

A Resolução 4.893 exige certificação ISO 27001?
Não exige certificação formal, mas os controles previstos na norma se alinham fortemente ao framework ISO 27001, que muitas instituições adotam como base estrutural para facilitar a conformidade regulatória.

O que acontece se a instituição não tiver PSC documentada?
A ausência de política de segurança cibernética formal expõe a instituição a sanções administrativas do Banco Central, que vão de advertência a multa e restrições operacionais, além do risco de exposição a incidentes sem plano de resposta estruturado.