Resolução CMN 4.658: o que mudou e o que vale hoje

Muita política de segurança cibernética de banco, cooperativa e financeira ainda abre com “em atendimento à Resolução CMN nº 4.658/2018”. Essa norma foi revogada em 1º de julho de 2021. O que vale hoje é a Resolução CMN nº 4.893/2021, que em dezembro de 2025 ganhou uma lista de controles mínimos pela Resolução CMN nº 5.274. Este guia mostra o que mudou em cada etapa, quem segue qual norma e o que revisar no documento antigo.

Por que a 4.658 ainda aparece em tanto lugar

A Resolução nº 4.658, de 26 de abril de 2018 (DOU de 30/04/2018), foi o primeiro texto do Conselho Monetário Nacional dedicado à política de segurança cibernética e à contratação de processamento, armazenamento de dados e computação em nuvem. Muitas instituições escreveram a primeira política e os primeiros contratos de nuvem para cumpri-la, e a citação na primeira página costuma sobreviver às revisões anuais.

Ela foi alterada uma vez, pela Resolução nº 4.752/2019, e revogada junto com essa alteração pelo art. 27 da Resolução CMN nº 4.893, de 26 de fevereiro de 2021 (DOU de 01/03/2021), em vigor desde 1º de julho de 2021.

A linha do tempo completa

Da 4.658 para a 4.893: menos ruptura do que parece

Comparados artigo por artigo, os dois textos são quase a mesma norma. A 4.893 manteve a política compatível com porte, perfil de risco e modelo de negócio, o plano de ação e de resposta a incidentes, o diretor responsável, o relatório anual com data-base de 31 de dezembro apresentado ao conselho até 31 de março, a aprovação pelo conselho de administração ou, na falta dele, pela diretoria, a revisão no mínimo anual e a guarda dos documentos por cinco anos. O capítulo de contratação de nuvem (arts. 11 a 17) também ficou praticamente igual.

As diferenças que contam para quem revisa uma política antiga são quatro:

1. Prazo de comunicação ao Banco Central. O texto original da 4.658 exigia comunicar a contratação de serviço relevante pelo menos sessenta dias antes. A 4.752/2019 mudou para até dez dias depois, e a 4.893 manteve. Se o país não tiver convênio de troca de informações com o Banco Central, continua sendo preciso pedir autorização com sessenta dias de antecedência, inclusive para alterações contratuais.
2. Critério de crise. A 4.893 passou a exigir que a instituição estabeleça e documente os critérios que configuram uma situação de crise, aquela que obriga a comunicação tempestiva ao Banco Central (art. 20, parágrafo único).
3. Escopo. A 4.893 deixou explícito que não se aplica às instituições de pagamento, que seguem regra própria do Banco Central. Desde 1º de março de 2024, pela Resolução CMN nº 5.117, também ficaram de fora administradoras de consórcio, corretoras e distribuidoras de títulos e valores mobiliários e corretoras de câmbio.
4. Prazos de transição. Os da 4.658, como a aprovação da política até 6 de maio de 2019, saíram do texto.

Na prática, a política escrita para a 4.658 não ficou errada em 2021: ficou com a base legal desatualizada e, provavelmente, sem o critério de crise. A mudança de verdade veio quatro anos depois.

O que a 5.274/2025 acrescentou à 4.893

A Resolução CMN nº 5.274, de 18 de dezembro de 2025 (DOU de 22/12/2025), não substituiu a 4.893. Ela alterou o texto, e por isso a referência correta hoje é “Resolução CMN nº 4.893/2021, com a redação dada pela Resolução CMN nº 5.274/2025”. As principais mudanças:

• 14 controles mínimos (art. 3º, § 2º): autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamento, proteção contra softwares maliciosos, rastreabilidade, cópias de segurança, avaliação e correção de vulnerabilidades, controles de acesso, configuração segura, proteção da rede, certificados digitais, segurança na integração por interfaces eletrônicas e inteligência no ambiente cibernético, incluindo monitoramento da deep web, da dark web e de grupos privados de comunicação.
• Conteúdo mínimo de vários controles (§§ 7º a 12), como trilhas de auditoria fim a fim com retenção definida, autenticação multifator no acesso externo à rede corporativa, revisão periódica das permissões de terceirizados e monitoramento de conexões externas à noite e em dias não úteis.
• Requisitos adicionais para a RSFN (art. 3º-A): autenticação multifator no acesso administrativo aos ambientes Pix e STR, isolamento físico e lógico desses ambientes (com instância dedicada em nuvem), monitoramento de credenciais e certificados, validação de integridade antes da assinatura das mensagens e proibição de acesso de terceiros às chaves privadas.
• Teste de intrusão (art. 22-A): no mínimo anual, feito com independência por pessoa ou empresa especializada contratada para isso, sem impedir os testes da equipe interna, e com resultados e planos de correção documentados. Esses resultados passam a constar do relatório anual.
• Conexão à RSFN como serviço relevante (art. 22-B), sujeita às regras de contratação.

A norma entrou em vigor na publicação e deu às instituições em funcionamento até 1º de março de 2026 para se adaptar (art. 2º). O post sobre a Resolução CMN 5.274 detalha os controles e a relação com a ISO 27001.

Instituições de pagamento e afins: BCB 85 e BCB 538

As instituições de pagamento nunca seguiram a 4.658. A regra delas era a Circular nº 3.909/2018, substituída pela Resolução BCB nº 85, de 8 de abril de 2021 (DOU de 12/04/2021), em vigor desde 1º de agosto de 2021. Hoje a BCB 85 vale para instituições de pagamento, corretoras e distribuidoras de títulos e valores mobiliários e corretoras de câmbio (desde 1º de março de 2024) e, pela Resolução BCB nº 552/2026, também para as prestadoras de serviços de ativos virtuais.

A Resolução BCB nº 538, de 18 de dezembro de 2025 (DOU de 22/12/2025), fez na BCB 85 as mesmas mudanças que a 5.274 fez na 4.893: os 14 controles mínimos, o art. 3º-A, o teste de intrusão do art. 22-A e o art. 22-B, com o mesmo prazo de 1º de março de 2026.

Prazos e rotinas que valem hoje

As regras de avaliação do prestador, cláusulas contratuais e serviços no exterior estão no post sobre risco de terceiros na CMN 4.893.

Checklist para quem ainda tem política baseada na 4.658

1. Confirme a norma aplicável, 4.893 ou BCB 85, pela tabela acima.
2. Troque a base legal na política, no plano de ação e de resposta a incidentes, no resumo público e nas normas internas.
3. Mapeie os 14 controles mínimos para controles internos, com responsável e evidência, incluindo o conteúdo dos §§ 7º a 12 do art. 3º.
4. Verifique se o art. 3º-A se aplica. Quem se comunica pela RSFN precisa documentar MFA, isolamento, chaves e validação de integridade.
5. Documente o critério de crise que dispara a comunicação ao Banco Central, se ele ainda não existir.
6. Programe o teste de intrusão anual com executor independente e guarde o relatório e o plano de correção.
7. Atualize o modelo do relatório anual para incluir os resultados de testes de intrusão e varreduras e os planos de correção.
8. Revise o inventário de serviços relevantes, incluindo o prestador de conexão à RSFN, e confira as comunicações ao Banco Central.
9. Revise as cláusulas dos contratos de nuvem exigidas pelo art. 17, principalmente localização dos dados, subcontratação, saída e acesso do Banco Central.
10. Leve a nova versão à aprovação do conselho de administração ou, na falta dele, da diretoria, e registre a data na ata.

Os guias sobre plataforma de GRC no Brasil e software de compliance com IA para bancos tratam de como organizar requisitos, controles e evidências.

O Eagle e este checklist

O módulo de GRC do Eagle, da Futture, foi desenhado para centralizar frameworks, requisitos, políticas, controles, evidências e planos de ação em um modelo reaproveitável e aceita requisitos personalizados, o caminho para cadastrar a 4.893 ou a BCB 85 na redação atual. O módulo de risco de terceiros acompanha fornecedores com assessments, criticidade, contratos e revisões periódicas. O teste de intrusão, a comunicação ao Banco Central e a interpretação jurídica continuam com a instituição e seus assessores.

Fontes consultadas em 30/10/2026: textos e históricos de alteração das Resoluções nº 4.658/2018 e nº 4.752/2019, das Resoluções CMN nº 4.893/2021, nº 5.117/2024 e nº 5.274/2025, da Circular nº 3.909/2018 e das Resoluções BCB nº 85/2021, nº 368/2024, nº 538/2025 e nº 552/2026, na base de normativos do Banco Central do Brasil. Este artigo tem finalidade informativa e não constitui orientação jurídica.

Perguntas frequentes

A Resolução CMN 4.658/2018 ainda está em vigor?

Não. A Resolução CMN nº 4.893/2021 revogou a 4.658 e a Resolução nº 4.752/2019, que a alterava, a partir de 1º de julho de 2021. Desde então, citar a 4.658 como base de uma política de segurança cibernética é citar uma norma revogada.

Qual norma substituiu a Resolução CMN 4.658?

A Resolução CMN nº 4.893/2021, que depois foi alterada pela Resolução CMN nº 5.117/2024, que mudou o escopo, e pela Resolução CMN nº 5.274/2025, que detalhou os controles mínimos. Instituições de pagamento, corretoras e distribuidoras de títulos e valores mobiliários, corretoras de câmbio e prestadoras de serviços de ativos virtuais seguem a Resolução BCB nº 85/2021, alterada pela Resolução BCB nº 538/2025.

Minha política de segurança cibernética ainda cita a 4.658. O que faço?

Revise a política e o plano de ação e de resposta a incidentes com base na 4.893 na redação atual (ou na BCB 85), inclua os 14 controles mínimos e os requisitos adicionais que se aplicarem e leve os documentos à aprovação do conselho de administração ou, na falta dele, da diretoria.

Qual é o prazo para comunicar ao Banco Central a contratação de serviço de nuvem relevante?

Até dez dias depois da contratação, e também até dez dias depois de alteração contratual que mude as informações comunicadas. Se o serviço for prestado em país sem convênio de troca de informações com o Banco Central, é preciso pedir autorização com pelo menos sessenta dias de antecedência.

Qual era o prazo de adequação à Resolução CMN 5.274/2025?

A 5.274 e a Resolução BCB nº 538/2025 entraram em vigor na publicação, em 22 de dezembro de 2025, e deram às instituições em funcionamento até 1º de março de 2026 para se adaptar. O prazo já passou.

Referências oficiais

• Resolução nº 4.658/2018 (revogada) — Banco Central do Brasil
• Resolução nº 4.752/2019 (revogada) — Banco Central do Brasil
• Resolução CMN nº 4.893/2021 — Banco Central do Brasil
• Resolução CMN nº 5.117/2024 — Banco Central do Brasil
• Resolução CMN nº 5.274/2025 — Banco Central do Brasil
• Circular nº 3.909/2018 — Banco Central do Brasil
• Resolução BCB nº 85/2021 — Banco Central do Brasil
• Resolução BCB nº 368/2024 — Banco Central do Brasil
• Resolução BCB nº 538/2025 — Banco Central do Brasil
• Resolução BCB nº 552/2026 — Banco Central do Brasil