Muchas políticas de ciberseguridad de bancos, cooperativas de crédito y financieras brasileñas todavía empiezan con “en cumplimiento de la Resolución CMN n.º 4.658/2018”. Esa norma fue derogada el 1 de julio de 2021. Lo que rige hoy es la Resolución CMN n.º 4.893/2021, que en diciembre de 2025 recibió una lista de controles mínimos mediante la Resolución CMN n.º 5.274. Esta guía muestra qué cambió en cada etapa, quién sigue cada norma y qué revisar en el documento antiguo.
Por qué la 4.658 sigue apareciendo en tantos lugares
La Resolución n.º 4.658, del 26 de abril de 2018 (Diario Oficial del 30/04/2018), fue el primer texto del Consejo Monetario Nacional (CMN) de Brasil dedicado a la política de ciberseguridad y a la contratación de procesamiento, almacenamiento de datos y computación en la nube. Muchas instituciones redactaron su primera política y sus primeros contratos de nube para cumplirla, y la cita en la primera página suele sobrevivir a las revisiones anuales.
Fue modificada una vez, por la Resolución n.º 4.752/2019, y derogada junto con esa modificación por el art. 27 de la Resolución CMN n.º 4.893, del 26 de febrero de 2021 (Diario Oficial del 01/03/2021), vigente desde el 1 de julio de 2021.
La línea de tiempo completa
| Norma | Qué hizo | Situación en octubre de 2026 |
|---|---|---|
| Resolución n.º 4.658/2018 | Primera regla de política de ciberseguridad y nube para instituciones autorizadas por el Banco Central de Brasil. | Derogada desde el 01/07/2021 |
| Circular n.º 3.909/2018 | Regla equivalente para instituciones de pago. | Arts. 1 a 26 derogados desde el 01/08/2021 |
| Resolución n.º 4.752/2019 | Cambió la comunicación previa de la contratación de nube por una comunicación hasta diez días después. | Derogada desde el 01/07/2021 |
| Resolución CMN n.º 4.893/2021 | Sustituyó a la 4.658 y a la 4.752. | Vigente, con modificaciones |
| Resolución BCB n.º 85/2021 | Sustituyó a la Circular 3.909 para instituciones de pago. | Vigente, con modificaciones |
| Resolución CMN n.º 5.117/2024 y Resolución BCB n.º 368/2024 | Desde el 01/03/2024, las corredoras y distribuidoras de valores y las corredoras de cambio pasaron de la 4.893 a la BCB 85. | Vigentes |
| Resolución CMN n.º 5.274/2025 y Resolución BCB n.º 538/2025 | Controles mínimos, requisitos para la RSFN, Pix y STR y pruebas de penetración. | Vigentes; adecuación hasta el 01/03/2026 |
| Resolución BCB n.º 552/2026 | Incluyó a los proveedores de servicios de activos virtuales en la BCB 85. | Vigente desde el 05/03/2026 |
De la 4.658 a la 4.893: menos ruptura de lo que parece
Comparados artículo por artículo, los dos textos son casi la misma norma. La 4.893 mantuvo la política proporcional al tamaño, el perfil de riesgo y el modelo de negocio, el plan de acción y respuesta a incidentes, el director responsable, el informe anual con fecha base del 31 de diciembre presentado al consejo hasta el 31 de marzo, la aprobación por el consejo de administración o, si no existe, por el directorio ejecutivo, la revisión al menos anual y la conservación de los documentos durante cinco años. El capítulo de contratación de nube (arts. 11 a 17) también quedó prácticamente igual.
Las diferencias que importan al revisar una política antigua son cuatro:
- Plazo para comunicar al Banco Central. El texto original de la 4.658 exigía comunicar la contratación de un servicio relevante con al menos sesenta días de anticipación. La 4.752/2019 lo cambió a hasta diez días después, y la 4.893 lo mantuvo. Si el país no tiene convenio de intercambio de información con el Banco Central, sigue siendo necesario pedir autorización con sesenta días de anticipación, incluso para modificaciones contractuales.
- Criterio de crisis. La 4.893 pasó a exigir que la institución establezca y documente los criterios que configuran una situación de crisis, la que obliga a la comunicación oportuna al Banco Central (art. 20, párrafo único).
- Alcance. La 4.893 dejó explícito que no se aplica a las instituciones de pago, que siguen una regla propia del Banco Central. Desde el 1 de marzo de 2024, por la Resolución CMN n.º 5.117, también quedaron fuera las administradoras de consorcios, las corredoras y distribuidoras de valores y las corredoras de cambio.
- Plazos de transición. Los de la 4.658, como la aprobación de la política hasta el 6 de mayo de 2019, salieron del texto.
En la práctica, la política escrita para la 4.658 no quedó mal en 2021: quedó con la base legal desactualizada y, probablemente, sin el criterio de crisis. El cambio de verdad llegó cuatro años después.
Qué añadió la 5.274/2025 a la 4.893
La Resolución CMN n.º 5.274, del 18 de diciembre de 2025 (Diario Oficial del 22/12/2025), no sustituyó a la 4.893. Modificó su texto, por lo que la referencia correcta hoy es “Resolución CMN n.º 4.893/2021, con la redacción dada por la Resolución CMN n.º 5.274/2025”. Los principales cambios:
- 14 controles mínimos (art. 3, § 2): autenticación, cifrado, prevención y detección de intrusiones, prevención de fugas de información, protección contra software malicioso, trazabilidad, copias de seguridad, evaluación y corrección de vulnerabilidades, controles de acceso, configuración segura, protección de la red, certificados digitales, seguridad en la integración mediante interfaces electrónicas e inteligencia en el entorno cibernético, incluido el monitoreo de la deep web, la dark web y grupos privados de mensajería.
- Contenido mínimo de varios controles (§§ 7 a 12), como pistas de auditoría de extremo a extremo con retención definida, autenticación multifactor para el acceso externo a la red corporativa, revisión periódica de los permisos de personal tercerizado y monitoreo de conexiones externas de noche y en días no hábiles.
- Requisitos adicionales para la RSFN (art. 3-A), la Red del Sistema Financiero Nacional: autenticación multifactor en el acceso administrativo a los entornos Pix y STR (sistema de transferencia de reservas), aislamiento físico y lógico de esos entornos (con instancia dedicada en la nube), monitoreo de credenciales y certificados, validación de integridad antes de firmar los mensajes y prohibición del acceso de terceros a las claves privadas.
- Prueba de penetración (art. 22-A): como mínimo anual, realizada con independencia por una persona o empresa especializada contratada para ello, sin impedir las pruebas del equipo interno, con resultados y planes de corrección documentados. Esos resultados pasan a constar en el informe anual.
- Conexión a la RSFN como servicio relevante (art. 22-B), sujeta a las reglas de contratación.
La norma entró en vigor con su publicación y dio a las instituciones en funcionamiento hasta el 1 de marzo de 2026 para adaptarse (art. 2). El artículo sobre la Resolución CMN 5.274 detalla los controles y su relación con la ISO 27001.
Instituciones de pago y afines: BCB 85 y BCB 538
Las instituciones de pago nunca siguieron la 4.658. Su regla era la Circular n.º 3.909/2018, sustituida por la Resolución BCB n.º 85, del 8 de abril de 2021 (Diario Oficial del 12/04/2021), vigente desde el 1 de agosto de 2021. Hoy la BCB 85 se aplica a las instituciones de pago, las corredoras y distribuidoras de valores y las corredoras de cambio (desde el 1 de marzo de 2024) y, por la Resolución BCB n.º 552/2026, también a los proveedores de servicios de activos virtuales.
La Resolución BCB n.º 538, del 18 de diciembre de 2025 (Diario Oficial del 22/12/2025), hizo en la BCB 85 los mismos cambios que la 5.274 hizo en la 4.893: los 14 controles mínimos, el art. 3-A, la prueba de penetración del art. 22-A y el art. 22-B, con el mismo plazo del 1 de marzo de 2026.
| Tipo de institución | Norma de ciberseguridad y nube |
|---|---|
| Bancos, cooperativas de crédito, financieras y demás instituciones autorizadas no excluidas | Resolución CMN n.º 4.893/2021, modificada por la 5.274/2025 |
| Instituciones de pago, corredoras y distribuidoras de valores, corredoras de cambio y proveedores de servicios de activos virtuales | Resolución BCB n.º 85/2021, modificada por la 538/2025 |
| Administradoras de consorcios | Fuera de la 4.893 desde el 01/03/2024 y fuera de la lista de la BCB 85; la propia 4.893 remite a la regulación del Banco Central, que conviene confirmar con el área jurídica |
Plazos y rutinas vigentes
| Obligación | Plazo o periodicidad |
|---|---|
| Adecuación a la 5.274 o a la BCB 538 | Hasta el 01/03/2026 (vencido) |
| Revisión de la política y del plan de acción y respuesta a incidentes | Como mínimo anual |
| Informe anual del plan | Fecha base 31/12, presentado al consejo o al directorio ejecutivo hasta el 31/03 |
| Prueba de penetración independiente | Como mínimo anual |
| Comunicación de la contratación de un servicio relevante | Hasta 10 días después de la contratación o de la modificación contractual |
| Servicio en el exterior sin convenio | Solicitud de autorización al menos 60 días antes |
| Conservación de política, plan, informes, contratos y resultados de pruebas | Cinco años |
Las reglas de evaluación del proveedor, cláusulas contractuales y servicios en el exterior están en el artículo sobre riesgo de terceros en la CMN 4.893.
Lista de verificación si su política todavía se basa en la 4.658
- Confirme la norma aplicable, 4.893 o BCB 85, con la tabla anterior.
- Cambie la base legal en la política, el plan de acción y respuesta a incidentes, el resumen público y las normas internas.
- Mapee los 14 controles mínimos a controles internos, con responsable y evidencia, incluido el contenido de los §§ 7 a 12 del art. 3.
- Verifique si se aplica el art. 3-A. Quien se comunica por la RSFN debe documentar MFA, aislamiento, claves y validación de integridad.
- Documente el criterio de crisis que activa la comunicación al Banco Central, si todavía no existe.
- Programe la prueba de penetración anual con un ejecutor independiente y guarde el informe y el plan de corrección.
- Actualice el modelo del informe anual para incluir los resultados de pruebas de penetración y escaneos y los planes de corrección.
- Revise el inventario de servicios relevantes, incluido el proveedor de conexión a la RSFN, y verifique las comunicaciones al Banco Central.
- Revise las cláusulas de los contratos de nube exigidas por el art. 17, sobre todo la ubicación de los datos, la subcontratación, la salida y el acceso del Banco Central.
- Lleve la nueva versión a aprobación del consejo de administración o, si no existe, del directorio ejecutivo, y registre la fecha en el acta.
Las guías sobre plataforma de GRC en Brasil y software de compliance con IA para bancos tratan de cómo organizar requisitos, controles y evidencias.
Eagle y esta lista de verificación
El módulo de GRC de Eagle, de Futture, fue diseñado para centralizar frameworks, requisitos, políticas, controles, evidencias y planes de acción en un modelo reutilizable y acepta requisitos personalizados, el camino para cargar la 4.893 o la BCB 85 en su redacción actual. El módulo de riesgo de terceros acompaña a los proveedores con evaluaciones, criticidad, contratos y revisiones periódicas. La prueba de penetración, la comunicación al Banco Central y la interpretación jurídica siguen a cargo de la institución y sus asesores.
Fuentes consultadas el 30/10/2026: textos e historial de modificaciones de las Resoluciones n.º 4.658/2018 y n.º 4.752/2019, de las Resoluciones CMN n.º 4.893/2021, n.º 5.117/2024 y n.º 5.274/2025, de la Circular n.º 3.909/2018 y de las Resoluciones BCB n.º 85/2021, n.º 368/2024, n.º 538/2025 y n.º 552/2026, en la base normativa del Banco Central de Brasil. Este artículo tiene fines informativos y no constituye asesoría jurídica.
Preguntas frecuentes
¿La Resolución CMN 4.658/2018 sigue vigente?
No. La Resolución CMN n.º 4.893/2021 derogó la 4.658, junto con la Resolución n.º 4.752/2019, que la modificaba, con efecto a partir del 1 de julio de 2021. Desde entonces, citar la 4.658 como base de una política de ciberseguridad es citar una norma derogada.
¿Qué norma sustituyó a la Resolución CMN 4.658?
La Resolución CMN n.º 4.893/2021, modificada después por la Resolución CMN n.º 5.117/2024, que cambió su alcance, y por la Resolución CMN n.º 5.274/2025, que detalló los controles mínimos. Las instituciones de pago, las sociedades corredoras y distribuidoras de valores, las corredoras de cambio y los proveedores de servicios de activos virtuales siguen la Resolución BCB n.º 85/2021, modificada por la Resolución BCB n.º 538/2025.
Nuestra política de ciberseguridad todavía cita la 4.658. ¿Qué hacemos?
Revise la política y el plan de acción y respuesta a incidentes con base en la 4.893 en su redacción actual (o en la BCB 85), incluya los 14 controles mínimos y los requisitos adicionales que correspondan y lleve los documentos a la aprobación del consejo de administración o, si no existe, del directorio ejecutivo.
¿Cuál es el plazo para comunicar al Banco Central la contratación de un servicio de nube relevante?
Hasta diez días después de la contratación, y también hasta diez días después de una modificación contractual que cambie la información comunicada. Si el servicio se presta en un país sin convenio de intercambio de información con el Banco Central, hay que pedir autorización con al menos sesenta días de anticipación.
¿Cuál fue el plazo de adecuación a la Resolución CMN 5.274/2025?
La 5.274 y la Resolución BCB n.º 538/2025 entraron en vigor con su publicación, el 22 de diciembre de 2025, y dieron a las instituciones en funcionamiento hasta el 1 de marzo de 2026 para adaptarse. Ese plazo ya venció.
Referencias oficiales
- Resolución n.º 4.658/2018 (derogada) — Banco Central de Brasil
- Resolución n.º 4.752/2019 (derogada) — Banco Central de Brasil
- Resolución CMN n.º 4.893/2021 — Banco Central de Brasil
- Resolución CMN n.º 5.117/2024 — Banco Central de Brasil
- Resolución CMN n.º 5.274/2025 — Banco Central de Brasil
- Circular n.º 3.909/2018 — Banco Central de Brasil
- Resolución BCB n.º 85/2021 — Banco Central de Brasil
- Resolución BCB n.º 368/2024 — Banco Central de Brasil
- Resolución BCB n.º 538/2025 — Banco Central de Brasil
- Resolución BCB n.º 552/2026 — Banco Central de Brasil