Compliance e regulatório
Resultado do teste de intrusão de 2026 terá de chegar ao conselho até março de 2027
O relatório anual de segurança cibernética com data-base de 31 de dezembro é o primeiro sob a CMN 5.274 e a BCB 538. Ele precisa trazer o teste de intrusão independente, as varreduras e o plano de correção, e ir ao conselho até 31 de março.
O relatório anual de segurança cibernética com data-base de 31 de dezembro de 2026 é o primeiro que as instituições reguladas pelo Banco Central fecham sob as regras da Resolução CMN nº 5.274 e da Resolução BCB nº 538, cujo prazo de adaptação venceu em 1º de março. Ele precisa trazer o resultado do teste de intrusão anual e o plano de correção, e chegar ao conselho até 31 de março de 2027. Na leitura da Indene, a norma não pede um teste; pede um ciclo que se prova: teste independente, achado, plano, correção no prazo e registro por cinco anos.
O que a norma exige
A Resolução CMN nº 5.274, de 18 de dezembro de 2025, alterou a Resolução CMN nº 4.893, que rege a política de segurança cibernética dos bancos e demais instituições autorizadas. A Resolução BCB nº 538, da mesma data, fez a mesma mudança na regra das instituições de pagamento, corretoras e distribuidoras (Resolução BCB nº 85). Nos pontos sobre teste e vulnerabilidade, o texto das duas é igual:
| exigência | o que diz o texto | onde |
|---|---|---|
| Periodicidade | teste de intrusão com "periodicidade mínima anual" | art. 22-A, I |
| Quem faz | pessoa ou empresa especializada contratada, com independência e imparcialidade, sem prejuízo dos testes da equipe interna | art. 22-A, II |
| Registro | resultado documentado, com as vulnerabilidades encontradas e os planos de ação para corrigi-las | art. 22-A, III |
| Rotina entre um teste e outro | testes e análises periódicos, varreduras para achar dispositivo conectado indevidamente à rede e correção tempestiva das vulnerabilidades | art. 3º, § 8º |
| Atualização | aplicação regular de correções de segurança | art. 3º, § 10 |
| Relatório anual | resultados do teste de intrusão, das varreduras e análises, e os planos de ação | art. 8º, § 1º, V |
| Quem recebe | comitê de risco, quando existir, e conselho de administração ou diretoria, até 31 de março do ano seguinte | art. 8º, § 2º |
| Guarda | documentação do teste e dos planos de ação à disposição do Banco Central por cinco anos, contados da data do teste | art. 23, X |
Dois detalhes mudam a prática. O primeiro é a independência: o teste feito só pela equipe interna continua permitido, mas não substitui o teste contratado. O segundo é o relatório: o resultado do teste deixa de ser um documento técnico arquivado na área de segurança e passa a ser item obrigatório de um relatório que o conselho recebe com prazo.
O que isso significa na prática
O teste de intrusão anual mostra o estado da instituição num dia do ano. As últimas semanas mostraram quanto esse retrato envelhece rápido. Entre setembro e outubro de 2026, falhas em VPN, gateways e outros equipamentos de borda de sete fabricantes entraram no catálogo de falhas exploradas da CISA, várias delas exploradas antes de existir correção. Segundo o relatório anual de violações de dados da Verizon, publicado em maio, a exploração de vulnerabilidade já é a porta de entrada de 31% das violações, à frente das credenciais roubadas pela primeira vez em 19 anos.
Por isso a norma junta o teste anual a uma rotina contínua: varredura, análise periódica e correção tempestiva. Um relatório que mostra só o teste de intrusão de março, sem o que aconteceu com as falhas exploradas em setembro, atende à letra do art. 22-A e deixa de fora o art. 3º.
Há também a questão do plano de ação. A norma pede que o plano esteja documentado; o que interessa a quem lê o relatório é se ele foi cumprido. Um achado crítico de março que segue aberto em dezembro, sem justificativa e sem aceite de risco formal, é exatamente o tipo de informação que o conselho precisa ver no relatório, e que fica guardada por cinco anos.
Por onde começar
- Confira se o teste de intrusão de 2026 já foi feito por uma pessoa ou empresa independente; se não foi, contrate antes do fim do ano, porque ele entra no relatório com data-base de 31 de dezembro.
- Defina o escopo pelos ativos que mais pesam na perda (acesso remoto, ambiente Pix e STR, aplicações expostas, identidade) e não pela conveniência do fornecedor do teste.
- Ligue cada achado do teste a um plano com responsável, prazo e evidência de correção, e registre o reteste.
- Junte ao relatório o que aconteceu entre um teste e outro: varreduras, falhas exploradas no catálogo da CISA que afetavam a instituição e quanto tempo levou para corrigir cada uma.
- Guarde tudo com data e origem por cinco anos, a contar da data de cada teste.
Na leitura da Indene, o teste de intrusão é uma evidência como outra qualquer: vale pela data, pela origem e pelo que se fez com ele. Um achado corrigido e retestado sobe a confiança do controle; um achado esquecido derruba. Leia a metodologia.
Referências
- Resolução CMN nº 5.274: Conselho Monetário Nacional, 18 de dezembro de 2025
- Resolução CMN nº 4.893, texto consolidado: Conselho Monetário Nacional, 26 de fevereiro de 2021
- Resolução BCB nº 538: Banco Central do Brasil, 18 de dezembro de 2025
- Resolução BCB nº 85, texto consolidado: Banco Central do Brasil, 8 de abril de 2021
- Segurança cibernética: o que muda com a Resolução CMN nº 5.274/2025?: Grant Thornton, 30 de dezembro de 2025
- Breach entry point, 2026 DBIR finds: Verizon, 19 de maio de 2026
- Known Exploited Vulnerabilities Catalog: CISA, consulta em 14 de outubro de 2026