Questões de Segurança cibernética: Resolução CMN 4.893/2021

O art. 2º da Resolução CMN 4.893/2021 orienta a política por princípios que busquem assegurar confidencialidade, integridade e disponibilidade dos dados e sistemas. Liquidez, solvência e rentabilidade soam bancárias, mas descrevem a saúde financeira da instituição, e não a proteção da informação.

O art. 9º atribui a aprovação da política e do plano de resposta a incidentes ao conselho de administração ou, se não houver, à diretoria. O Banco Central supervisiona o cumprimento da norma, mas não aprova documento de governança interna da instituição.

O art. 8º, § 2º, II, manda apresentar o relatório anual, de data-base 31 de dezembro, até 31 de março do ano seguinte. Prazos anteriores, como fevereiro, são tentadores por parecerem mais rigorosos, mas não correspondem ao que a norma estabelece.

O art. 15, § 2º, determina comunicar ao Banco Central a contratação de serviço relevante de nuvem em até 10 dias depois de contratar. Sessenta dias antes é a distratora mais tentadora, pois esse prazo se aplica somente à autorização para país sem convênio.

Sem convênio com o país estrangeiro, o art. 16, § 1º, I, exige solicitar autorização ao Banco Central com pelo menos 60 dias de antecedência. Comunicar em até dez dias basta apenas no caso geral, e a contratação não é proibida, somente condicionada.

Art. 22-A, I e II, incluído pela Resolução CMN 5.274/2025. Testes por equipes internas seguem permitidos, sem prejuízo do teste independente.

Art. 14. A exclusão vem depois da transferência (art. 17, IV); o acesso às chaves privadas é vedado (art. 3º-A, I, f); o acesso do BC é obrigatório (art. 17, VII).

O art. 1º, parágrafo único, deixa instituições de pagamento, administradoras de consórcio, corretoras e distribuidoras sob regulamentação própria do Banco Central. Bancos de qualquer porte permanecem no alcance da 4.893, e por isso as opções que excluem bancos pequenos ou grandes estão erradas.

A Resolução CMN 5.274/2025 incluiu, no art. 3º, § 9º, III, múltiplos fatores de autenticação para acesso à rede corporativa a partir de ambiente externo. Senha alfanumérica isolada é justamente um único fator, e o Banco Central não autoriza cada acesso individualmente.

O art. 2º da Resolução CMN 4.893/2021 orienta a política a assegurar confidencialidade, integridade e disponibilidade dos dados e sistemas. Lucratividade, liquidez e solvência são conceitos financeiros, sem relação com a tríade de segurança que orienta essa política.

O art. 10 da Resolução CMN 4.893/2021 exige revisão ao menos anual da política e do plano de ação e resposta a incidentes. Cinco anos é a distração, por ser o prazo de guarda dos documentos à disposição do Banco Central.

O art. 8º da Resolução CMN 4.893/2021 estabelece data-base de 31 de dezembro para o relatório anual. A data de 31 de março atrai porque aparece no mesmo artigo, mas indica o limite para levar o relatório ao conselho.

Os arts. 4º e 5º da Resolução CMN 4.893/2021 exigem divulgação interna, a empregados e prestadores, e resumo das linhas gerais ao público. A opção apenas interna é incompleta, pois deixa de fora a divulgação externa prevista no art. 5º.

O art. 15, § 2º, da Resolução CMN 4.893/2021 determina a comunicação ao Banco Central em até 10 dias após contratar serviço relevante. O número de 60 dias, presente na mesma norma, refere-se à autorização prévia sem convênio com país estrangeiro.

O art. 8º da Resolução CMN 4.893/2021 prevê que o relatório anual, com data-base de 31 de dezembro, seja apresentado até 31 de março. A opção 31 de dezembro confunde a data de referência do relatório com seu prazo de apresentação.

O art. 5º da Resolução CMN 4.893/2021 determina a divulgação externa por resumo das linhas gerais da política ao público. Texto integral obrigatório exagera a exigência, pois somente o resumo se destina ao público, e não o documento completo da instituição.

O art. 23 da Resolução CMN 4.893/2021 mantém política, atas, plano e relatório à disposição do Banco Central por cinco anos. O prazo de um ano atrai por lembrar a revisão anual, requisito distinto que não se confunde com a guarda documental.