Em 18 de dezembro de 2025, o Conselho Monetário Nacional e o Banco Central publicaram duas resoluções que mudaram a rotina de segurança de quem é autorizado a funcionar pelo BCB. Até ali, teste de intrusão era boa prática citada em guia. Passou a ser dispositivo: periodicidade mínima anual, execução independente e resultado documentado. O prazo de adequação venceu em 1º de março de 2026. Para o MSP que atende uma financeira, uma cooperativa de crédito, uma corretora ou uma instituição de pagamento, o assunto deixou de ser argumento de venda e virou uma obrigação do cliente — com um fornecedor a contratar. Este texto reúne o que as três resoluções dizem, artigo por artigo, e o que isso cobra de quem vai executar o teste: um problema de imparcialidade que o MSP precisa resolver antes de vender, e o registro que uma operação apoiada na Wardizon produz junto com o serviço.
O que mudou em dezembro de 2025
A Resolução CMN nº 5.274, de 18 de dezembro de 2025, altera a Resolução CMN nº 4.893, de 26 de fevereiro de 2021, que define a política de segurança cibernética das instituições autorizadas a funcionar pelo Banco Central. No mesmo dia, a Resolução BCB nº 538 fez a alteração equivalente na Resolução BCB nº 85, de 8 de abril de 2021.[1][2]
A mudança entra pela gestão de vulnerabilidades. O art. 3º, § 2º, inciso VIII, trata da avaliação e da correção de vulnerabilidades dos recursos computacionais e dos sistemas de informação, e o novo § 8º passou a dizer o que esse inciso precisa contemplar, no mínimo: testes e análises periódicos para detecção de vulnerabilidades, varreduras para identificar dispositivos indevidamente conectados à rede corporativa, análises periódicas dos recursos tecnológicos, testes de intrusão e correção tempestiva das vulnerabilidades identificadas.[1]
As duas resoluções entraram em vigor na data de publicação e deram o mesmo prazo às instituições já em funcionamento: as adaptações necessárias deveriam estar feitas até 1º de março de 2026. O prazo venceu. Quem ainda não contratou o teste não está atrasado em uma recomendação; está fora de um dispositivo em vigor.[1][2]
Art. 22-A: três condições, não uma recomendação
O artigo novo é o 22-A, com texto idêntico nas duas resoluções. Ele determina que as instituições devem assegurar que os testes de intrusão mencionados no art. 3º, § 8º, inciso IV, tenham periodicidade mínima anual; sejam realizados com independência e imparcialidade por pessoa natural ou empresa especializada contratada pela instituição para essa finalidade, sem prejuízo da realização de testes por equipes da própria instituição; e tenham os resultados de sua execução documentados, especialmente as eventuais vulnerabilidades que forem identificadas e os planos de ação estabelecidos para suas correções.[1][2]
Vale ler o inciso II devagar. A expressão “sem prejuízo” não oferece uma alternativa: o teste feito pela equipe interna continua permitido e continua útil, mas não ocupa o lugar do teste contratado. A instituição que só testa com gente de casa não atende ao inciso, por melhor que seja a equipe.
E “contratada para essa finalidade” carrega peso próprio. Não basta existir um contrato guarda-chuva de TI em que o teste aparece como item; a norma descreve uma contratação cujo objeto é o teste. Para o MSP, essa é exatamente a diferença entre embutir uma varredura no pacote mensal e vender uma avaliação com escopo, janela, entrega e preço próprios.
- Periodicidade mínima anual — anual é o piso, não o alvo.
- Independência e imparcialidade, por pessoa natural ou empresa especializada contratada para essa finalidade.
- Resultados documentados, com as vulnerabilidades identificadas e os planos de ação para corrigi-las.
Quem está dentro do escopo
A Resolução 4.893 vale para as instituições autorizadas a funcionar pelo Banco Central, e o parágrafo único do seu art. 1º exclui expressamente as instituições de pagamento, que devem observar a regulamentação própria do BCB. Essa regulamentação é a Resolução BCB nº 85, de 2021 — a que a Resolução 538 alterou no mesmo dia.[3][2]
Somadas, as duas cobrem os dois lados do sistema. De um lado, bancos, cooperativas de crédito, financeiras e as demais autorizadas pelo CMN. Do outro, instituições de pagamento, sociedades corretoras e distribuidoras de títulos e valores mobiliários e sociedades corretoras de câmbio. O art. 22-A é o mesmo nos dois textos, então a obrigação não muda conforme o lado em que o cliente está.[2]
Isso importa para o MSP porque a lista não é formada apenas por bancos grandes com time de segurança próprio. Cooperativas de crédito singulares, instituições de pagamento pequenas, corretoras regionais e fintechs de crédito estão nela — e são exatamente o perfil de cliente que já terceiriza infraestrutura para um prestador de serviços gerenciados.
O problema de independência que o MSP precisa resolver antes de vender
O inciso II pede duas coisas, não uma: independência e imparcialidade. Um MSP que administra o firewall, o diretório de identidades e os servidores do cliente não é, por padrão, um avaliador imparcial da própria configuração. Quem desenhou o controle tem interesse no resultado do teste que avalia aquele controle, e isso não some porque o relatório é bem escrito.
O ponto não impede o MSP de prestar o serviço; impede que ele preste sem tratar a questão. Os caminhos são conhecidos e nenhum deles é novo: separar quem opera de quem avalia, registrar essa separação por escrito e fazer com que o achado venha de uma execução registrada contra um escopo autorizado, em vez do julgamento do engenheiro que mantém o ambiente.
A avaliação de independência é da instituição, que responde por ela perante o supervisor. O trabalho do MSP é entregar material que sustente essa avaliação: quem autorizou, qual escopo foi autorizado, o que foi executado, quando, e qual evidência sustenta cada achado. O NIST SP 800-115 já tratava escopo, regras e registro como parte do teste, e não como anexo administrativo. Sem esses registros, a conversa sobre imparcialidade não tem onde se apoiar.[4]
A norma não pede um teste; pede um registro que dure cinco anos
O art. 8º, § 1º, inciso V, passou a exigir que o relatório anual traga os resultados dos testes de intrusão e dos testes, varreduras e análises periódicas para detecção de vulnerabilidades, junto dos planos de ação estabelecidos para as suas correções.[1]
O art. 23 fecha o ciclo. O caput manda manter a documentação à disposição do Banco Central pelo prazo de cinco anos, e o novo inciso X inclui nessa lista a documentação com os resultados da execução de testes de intrusão e os planos de ação para as correções, contado o prazo a partir da data de execução dos testes.[3][1]
Cinco anos contados da execução muda o que conta como entrega. Um PDF sem data de execução, sem escopo declarado e sem registro de quem autorizou resolve a reunião da semana e não resolve a pergunta do supervisor em 2031. O relatório precisa dizer o que foi testado, em que janela, sob qual autorização, o que foi encontrado e o que ficou combinado para corrigir.
- A data de execução de cada teste — é dela que corre o prazo de cinco anos.
- O escopo autorizado e quem, do lado do cliente, autorizou.
- As vulnerabilidades identificadas, com a evidência que sustenta cada uma.
- Os planos de ação para correção, com responsável e prazo.
- O resultado do reteste, quando houver.
Como isso se encaixa na operação de um MSP com a Wardizon
A Wardizon organiza a operação em torno do documento que a norma pressupõe mas não descreve: as Regras de Engajamento assinadas pelo cliente. O RoE declara os alvos, a janela, a profundidade e quem autorizou, e é ele que delimita até onde a execução pode avançar. Para uma instituição que precisa provar sob qual autorização o teste aconteceu, esse é o primeiro registro da trilha.[5]
Cada execução acontece dentro de um RoE e fica registrada com o seu escopo e o seu momento. O relatório sai com a marca do MSP e a assinatura “Powered by Wardizon”, trazendo os achados, a evidência e a orientação de remediação que alimentam o plano de ação que o art. 22-A manda documentar. Aplicada a correção, o reteste dentro do mesmo RoE produz o registro de que a vulnerabilidade deixou de ser observada — que é o que fecha o plano, não a promessa de que foi corrigida.[6]
Nada disso declara conformidade por conta própria. A avaliação de independência, a aceitação do risco residual e a decisão sobre o plano de ação são da instituição. O que a operação entrega é o material que essas decisões exigem e que a norma manda guardar: autorização registrada, execução datada, achado com evidência e reteste. O MSP entra como a empresa especializada contratada para essa finalidade, com um processo que produz o registro junto com o serviço.[7]
O que fazer nas próximas semanas
Para o MSP, a conversa mais produtiva não começa pela norma. Começa perguntando quando foi o último teste de intrusão do cliente e quem o executou. A resposta costuma ser “nunca” ou “a gente mesmo”, e as duas abrem a mesma porta — com a diferença de que a segunda já vem com um problema de imparcialidade embutido.
- Liste os clientes autorizados a funcionar pelo Banco Central, instituições de pagamento incluídas.
- Pergunte a data do último teste de intrusão e quem o executou.
- Verifique se o relatório anual já cita os resultados e os planos de ação.
- Separe, por escrito, quem opera o ambiente de quem avalia o ambiente.
- Acerte escopo e autorização antes de qualquer execução.
O que este texto não é
Este artigo descreve o que as resoluções dizem e não substitui a leitura dos textos oficiais nem a orientação jurídica da instituição. As três normas citadas estão publicadas no Diário Oficial da União, são curtas e valem a leitura integral antes de qualquer decisão de contratação.[1][2][3]
O art. 22-A pede execução documentada, e o registro começa antes do primeiro pacote: o modelo de Regras de Engajamento traz as doze cláusulas, o checklist de pré-voo e o e-mail de autorização para enviar à instituição.