Atualização regulatória do BACEN: como as resoluções 496, 497 e 498 redefinem a segurança criptográfica - Kryptus

1. Introdução: o marco de setembro de 2025

A publicação do conjunto de Resoluções BCB nº 494 a 498, em 5 de setembro de 2025, pelo Banco Central do Brasil (BACEN) representa uma inflexão estratégica fundamental na regulação do setor financeiro. Este movimento é uma resposta direta à escalada na sofisticação das ameaças cibernéticas, incluindo incidentes recentes que, segundo o próprio regulador, contaram com o “envolvimento do crime organizado”. O pacote normativo visa elevar de forma substancial a resiliência e a postura de segurança de todo o Sistema Financeiro Nacional (SFN) e do Sistema de Pagamentos Brasileiro (SPB), modernizando o arcabouço regulatório para enfrentar um novo patamar de risco.

A tese central que permeia estas novas regras é a imposição de um princípio de soberania criptográfica. O BACEN identificou com precisão que a combinação do processamento de dados com a gestão de chaves criptográficas, especialmente quando delegada a ambientes de terceiros como os Provedores de Serviços de Tecnologia da Informação (PSTIs), constitui um risco sistêmico crítico. As novas resoluções foram desenhadas para, de forma cirúrgica, eliminar essa dependência, forçando as instituições a retomarem o controle absoluto sobre seus ativos criptográficos mais sensíveis. A natureza desta intervenção regulatória indica que ela não é meramente preventiva; é uma reação direta a falhas de segurança específicas e de alto impacto que já se materializaram. Ao mencionar explicitamente o crime organizado, o BACEN sinaliza que está se movendo para além da gestão de riscos teóricos para combater ameaças tangíveis e ativas. Isso eleva drasticamente o risco da não conformidade: não se trata mais de ignorar uma regra, mas de ignorar um vetor de ataque que o regulador identificou publicamente como crítico, transformando a conformidade em uma questão de sobrevivência operacional.

Embora todo o pacote regulatório seja de grande relevância, esta análise se concentrará na poderosa interação entre três resoluções-chave: a Resolução BCB nº 496, que rege o Pix; a Resolução BCB nº 497, que regulamenta a Transferência Eletrônica Disponível (TED); e a Resolução BCB nº 498, que estabelece o novo regime para os PSTIs. Demonstraremos como as duas primeiras criam um incentivo operacional para a conformidade, enquanto a terceira define o caminho técnico e de governança para alcançá-la.

2. O impacto operacional imediato: desvendando os limites transacionais das resoluções 496 e 497

As Resoluções BCB nº 496 e BCB nº 497 introduzem uma limitação operacional de efeito imediato e contundente: um teto de R$15.000,00 por transação, tanto para operações de Pix quanto de TED. Esta medida não é uma recomendação, mas uma regra de processamento que impacta diretamente o fluxo de pagamentos.
A restrição aplica-se especificamente a dois grupos de instituições que o BACEN considera como de maior risco potencial:

Instituições de Pagamento (IPs) que ainda não obtiveram autorização plena de funcionamento pelo Banco Central.
Qualquer instituição, autorizada ou não, que se conecta à Rede do Sistema Financeiro Nacional (RSFN) por meio de um Provedor de Serviços de Tecnologia da Informação (PSTI).

As implicações de negócio desta medida são severas. Para fintechs que atendem clientes corporativos, plataformas de pagamento B2B, ou qualquer serviço que processe transações de alto valor, este limite efetivamente paralisa o modelo de negócio principal. Não se trata de um inconveniente menor, mas de uma barreira crítica que torna a operação comercial em escala inviável. Embora exista a possibilidade de uma dispensa temporária de até 90 dias, ela depende da comprovação da adoção de controles de segurança aprimorados, sinalizando que é uma medida paliativa, e não uma solução definitiva.

Este limite de R$15.000,00 é uma peça notável de engenharia regulatória. Em vez de se basear em multas e sanções aplicadas a posteriori, que podem ser provisionadas em orçamentos como um custo de negócio, o BACEN criou um acelerador operacional reverso, um mecanismo de enforcement proativo e automatizado, embutido na própria infraestrutura de pagamentos. Ele desloca o custo da não conformidade de um passivo futuro e potencial para uma perda de receita imediata e diária. Isso força o tema da conformidade para o topo da agenda da alta gestão, transformando-o de um problema do centro de custo de TI para um habilitador primário de negócios. O regulador, de forma eficaz, instrumentalizou a capacidade operacional como ferramenta para impor padrões de segurança mais elevados.

3. O pilar da nova estrutura: a resolução 498 e a profissionalização dos PSTIs

Até a publicação destas normas, os PSTIs operavam em uma espécie de “zona cinzenta” regulatória, sem supervisão direta do Banco Central. A Resolução BCB nº 498 encerra definitivamente essa era, estabelecendo um processo de credenciamento formal e mandatório para qualquer PSTI que deseje conectar seus clientes à RSFN.

O padrão para se tornar um “PSTI Credenciado” é excepcionalmente alto, elevando esses provedores de meros fornecedores de tecnologia a entidades com um nível de escrutínio quase financeiro. Os requisitos-chave incluem:

– Exigência de capital social mínimo de R$15 milhões e a contratação obrigatória de seguros de responsabilidade civil e de riscos operacionais para cobrir eventos cibernéticos e fraudes.

– Nomeação de diretores estatutários responsáveis por áreas críticas como Segurança da Informação, Riscos, Compliance e Gestão de Crises, além da criação de um Comitê de Gestão de Crises formal.

– Obrigatoriedade de auditorias externas anuais, conduzidas por empresas registradas na CVM, que atestem o cumprimento integral dos requisitos da resolução. Os relatórios devem ser submetidos ao BACEN.

No entanto, a exigência técnica mais crítica e transformadora da Resolução 498 está em seu Art. 18, § 1º:

“O PSTI não deverá ter acesso às chaves privadas utilizadas para a assinatura das mensagens no âmbito dos arranjos e sistemas de pagamento providos pelo Banco Central do Brasil”.

Esta única frase é o pilar de toda a nova arquitetura de segurança. A norma também exige a implementação de mecanismos robustos de rastreabilidade, incluindo trilhas de auditoria completas para todas as transações processadas.

A Resolução 498, na prática, remodela todo o mercado de infraestrutura de tecnologia financeira no Brasil. Ela cria uma bifurcação clara no cenário de PSTIs: de um lado, provedores básicos e não credenciados, adequados para serviços não críticos; de outro, provedores credenciados pelo BACEN, habilitados para operar no coração do SFN e do SPB. Isso introduz uma nova dimensão competitiva, baseada em confiança e segurança, e não apenas em preço e disponibilidade.

Um PSTI que não consiga obter essa credencial fica automaticamente excluído da parte mais valiosa do mercado: o processamento de transações de Pix e TED de alto valor. Isso força os provedores a uma decisão estratégica: investir pesadamente em segurança e governança para atender ao novo padrão ou se resignar a um mercado de menor valor. Para aqueles que se adaptam, surge uma nova e poderosa proposta de valor: a oferta de “Compliance-as-a-Service”.

4. A condição essencial para a retirada dos limites: a separação mandatória entre processamento e criptografia

O caminho para remover a restrição de R$15.000,00 é agora linear e inequívoco. Uma instituição deve cumprir duas condições cumulativas:

Utilizar um PSTI que tenha concluído com sucesso o processo de credenciamento definido na Resolução 498.
E demonstrar, por meio de um “relatório de asseguração razoável” emitido por uma empresa de auditoria independente, que atende a controles de segurança técnicos específicos.

Os controles técnicos que devem ser auditados e comprovados são decisivos e revelam a intenção do regulador:

– A instituição não compartilha suas chaves privadas com o PSTI.

– A instituição valida a integridade das transações antes que a assinatura criptográfica seja aplicada.

– A instituição utiliza certificados criptográficos distintos para diferentes ambientes (ex: produção e homologação) e para diferentes finalidades (ex: assinatura de mensagens e autenticação de canal).

Esses requisitos tornam arquiteturalmente impossível alcançar a conformidade se as chaves criptográficas forem gerenciadas em software, em servidores controlados ou acessados pelo PSTI. A dificuldade reside em provar um negativo — que as chaves não foram compartilhadas ou acessadas — em um ambiente de software onde o acesso, por definição, é fluido e difícil de auditar com certeza absoluta. A única maneira tecnicamente aplicável e auditável de atender a este mandato é criar uma fronteira física, inviolável e resistente a adulterações para todas as operações criptográficas. Esta é, precisamente, a função de um Hardware Security Module (HSM).

Desta forma, o BACEN efetivamente prescreveu um padrão de arquitetura — a externalização das funções criptográficas para um ambiente de hardware confiável e isolado — sem jamais utilizar a sigla “HSM”. Trata-se de uma regulação sofisticada, baseada em princípios. O regulador definiu o resultado desejado: não compartilhamento de chaves, verificações de integridade pré-assinatura e prova auditável. A implementação tecnológica específica foi deixada em aberto, mas as exigências criadas convergem logicamente para uma única classe de solução.

Qualquer CISO ou auditor encarregado de assinar o “relatório de asseguração razoável” enfrentará uma pergunta simples: “Como você pode provar, com certeza absoluta, que os administradores do PSTI ou um processo comprometido em seus servidores não puderam acessar o material da chave?”. Em um repositório de chaves baseado em software, essa prova é impossível de ser fornecida. Em um HSM certificado, a prova é inerente ao design do hardware e às suas certificações, como a ICP-Brasil, MCT-7, a Common Criteria EAL4+ e FIPS 140-2. A regulação, portanto, cria um requisito implícito para o uso de HSMs.

Kryptus kNET HSM

5. kNET HSM: a plataforma de conformidade para a nova realidade regulatória

O Kryptus kNET HSM é mais que um produto de segurança; é uma plataforma de conformidade abrangente, projetada para endereçar diretamente os requisitos do novo framework regulatório do BACEN. Ele oferece as ferramentas necessárias para que tanto as instituições financeiras quanto os PSTIs naveguem com segurança e eficiência neste novo cenário.

Garantindo soberania e controle com certificação Common Criteria EAL 4+

O mandato central de não compartilhar chaves é o princípio fundador de um HSM. Com o kNET, todas as operações de geração, armazenamento e uso de chaves ocorrem exclusivamente dentro de sua fronteira de hardware inviolável e resistente a adulterações. A certificação Common Criteria EAL 4+ (além de ICP-Brasil e FIPS) fornece uma validação independente e reconhecida internacionalmente dessa segurança. Esta certificação é uma peça de evidência crítica para o relatório de auditoria externa exigido pelo BACEN, pois atesta a resistência física a violações e a autenticação baseada em identidade para acesso aos serviços criptográficos.

A solução para PSTIs: Multi-Tenancy com Virtual HSMs

A capacidade do kNET HSM de criar até 50 Virtual HSMs (vHSMs) logicamente isolados é um diferencial transformador para os PSTIs. Um PSTI pode implantar um único appliance kNET e oferecer a cada um de seus clientes institucionais sua própria partição dedicada e criptograficamente segregada. Cada cliente detém controle exclusivo sobre as chaves e políticas de seu vHSM, cumprindo diretamente o requisito de segregação da Resolução 498. Isso permite ao PSTI construir uma oferta de serviço escalável, lucrativa e, acima de tudo, em total conformidade com as novas regras.

Assegurando a integridade e a auditoria

O requisito de validar a integridade da transação antes da assinatura é tratado nativamente pela arquitetura. A aplicação de negócio envia os dados da transação, já validados, para o kNET HSM realizar a operação de assinatura. O processo de assinatura em si é uma operação atômica dentro do hardware seguro, garantindo que os dados assinados são precisamente aqueles que foram validados. Além disso, o kNET fornece logs de auditoria para cada operação criptográfica e administrativa, o que é essencial tanto para a conformidade do próprio PSTI quanto para fornecer aos seus clientes as evidências necessárias para suas auditorias.

Performance para não comprometer o negócio

Com capacidade para processar até 10.000 assinaturas RSA de 2048 bits por segundo, o kNET garante que esta nova camada de segurança e conformidade não se torne um gargalo de performance para sistemas de pagamento de alto volume, permitindo que as instituições cumpram as novas regras sem sacrificar a agilidade de seus negócios.

Resoluções BACEN (Set/2025) vs. funcionalidades do kNET HSM

Resolução	Exigência central de segurança	Risco de não conformidade	Solução habilitada pelo kNET HSM
BCB nº 496/497 (para IPs)	Instituição deve provar, via auditoria, que não compartilha chaves privadas com o PSTI e que valida a integridade da transação antes da assinatura.	Imposição de um limite de R$15.000,00 por transação Pix/TED, inviabilizando operações de alto valor e paralisando modelos de negócio.	As chaves privadas residem e são utilizadas exclusivamente dentro do hardware inviolável do HSM, com certificações como ICP-Brasil MCT7 NSH3, Common Criteria EAL4+ e FIPS 140-2 Nível 3. A assinatura é a etapa final, garantindo a integridade do dado processado.
BCB nº 498 (para PSTIs)	PSTI não deve ter acesso às chaves privadas de seus clientes e deve garantir a segregação e manter trilhas de auditoria robustas.	Negativa de credenciamento pelo BACEN, resultando na incapacidade de servir clientes no SFN/SPB. Risco de suspensão cautelar da conexão à RSFN.	A funcionalidade de Virtual HSMs permite a criação de até 50 partições lógicas seguras e isoladas, uma para cada cliente. Cada vHSM possui seu próprio conjunto de chaves e políticas, com trilhas de auditoria completas e independentes.

6. Roteiro prático: passos para a adequação estratégica

A adaptação a este novo cenário regulatório exige ações imediatas e estratégicas. A seguir, um roteiro prático para os principais atores envolvidos.

Para instituições financeiras e de pagamento (IPs):

Revisão imediata do contrato com o PSTI: verifique se seu provedor atual possui um plano claro e um cronograma factível para obter o credenciamento exigido pela Resolução 498. A conformidade do seu parceiro é um pré-requisito para a sua.
Análise da arquitetura de chaves: Mapeie onde e como suas chaves criptográficas para o SPB (Pix, TED) são gerenciadas. Se elas residem em software ou em qualquer ambiente controlado ou acessado pelo PSTI, sua arquitetura está em não conformidade.
Planejamento de projeto HSM: Inicie um projeto para a aquisição e integração de um HSM. O objetivo é migrar todas as operações de assinatura de mensagens do SPB para o controle exclusivo do HSM, estabelecendo uma fronteira criptográfica clara.
Engajamento com auditoria: Contrate uma empresa de auditoria independente, registrada na CVM, para validar sua nova arquitetura baseada em HSM e produzir o “relatório de asseguração razoável” exigido para a remoção dos limites transacionais.

Para provedores de serviços de TI (PSTIs):

Determine se sua empresa buscará o credenciamento do BACEN. Esta decisão implica investimentos significativos em governança, capital, seguros e tecnologia. A inação resultará na perda de relevância no mercado de serviços para o SFN.
O modelo antigo de “processamento com segurança embarcada” está obsoleto. O novo modelo de serviço deve ser “processamento com um portal seguro para o HSM do cliente” ou, de forma mais avançada, “processamento com a oferta de um vHSM gerenciado”.
Adote uma solução como o kNET HSM para construir sua oferta de serviço compatível com a Resolução 498. A capacidade de oferecer vHSMs dedicados e isolados será seu principal diferencial competitivo e habilitador de negócios.
Reúna a documentação necessária (provas de capital, estrutura de governança, apólices de seguro, descrição da arquitetura de segurança) e inicie formalmente o processo de credenciamento junto ao Banco Central.

7. Conclusão: converta a obrigação regulatória em vantagem competitiva

O pacote de resoluções de setembro de 2025 representa a maturação do mercado financeiro digital brasileiro. O BACEN está elevando o padrão de segurança e resiliência para todos os participantes, alinhando o Brasil com as melhores práticas globais de cibersegurança e gestão de risco tecnológico.

No novo ecossistema, a conformidade com as Resoluções 496, 497 e 498 é a licença para operar e competir em escala. As instituições que se adaptarem rapidamente, abraçando uma arquitetura de soberania criptográfica, não apenas evitarão as severas restrições operacionais, mas também se posicionarão como parceiros mais seguros e confiáveis para seus clientes, construindo uma vantagem competitiva duradoura.

A implementação de uma solução robusta como o kNET HSM deve ser vista não como um mero custo de conformidade, mas como um investimento estratégico fundamental. É um investimento em confiança, em resiliência operacional e, em última análise, na capacidade de prosperar no ambiente financeiro mais seguro e exigente que o Banco Central do Brasil acaba de construir.