Resolução BCB 498: o Prazo para PSTIs Contratarem Seguro Cibernético Já Venceu. Sua Empresa Está em Conformidade?
Em setembro de 2025, o Banco Central publicou a Resolução BCB nº 498, criando um novo regime de credenciamento para os Provedores de Serviços de Tecnologia da Informação (PSTIs) — empresas de tecnologia que processam dados para instituições financeiras, fintechs e demais participantes do Sistema Financeiro Nacional.
A norma deu um prazo de quatro meses para os PSTIs já em operação se adequarem. Esse prazo venceu em janeiro de 2026. Ou seja: não é mais uma regra “que vai entrar em vigor” — é uma exigência que já deveria estar cumprida.
Se sua empresa presta serviços de tecnologia para o setor financeiro e ainda não passou por essa adequação, este é o momento de resolver isso antes que vire um problema contratual ou regulatório.
O que a Resolução BCB 498 exige, na prática
A resolução regula o credenciamento de PSTIs que acessam a Rede do Sistema Financeiro Nacional (RSFN) para prestar serviços de processamento de dados. Entre as exigências centrais estão:
- Seguro obrigatório de responsabilidade civil e de riscos operacionais, com cobertura explícita para incidentes de fraude e segurança cibernética
- Diretores formalmente responsáveis por segurança da informação, segurança cibernética, compliance e gestão de riscos
- Auditoria externa independente, com envio periódico de relatórios ao Banco Central
- Plano de Continuidade de Negócios testado
- Patrimônio líquido mínimo compatível com o porte e risco da operação
- Monitoramento contínuo, com trilhas de auditoria e rastreabilidade de eventos
O impacto não é só para o PSTI. Instituições financeiras e fintechs supervisionadas pelo Banco Central só podem contratar fornecedores de tecnologia credenciados — e passam a ter a obrigação de monitorar se esses fornecedores seguem em conformidade ao longo do contrato, não só na assinatura.
O que muda agora que o prazo passou
Com o prazo de adequação encerrado, o cenário para quem ainda não regularizou a situação muda de forma concreta:
Para o PSTI: operar sem os requisitos da resolução deixa de ser um risco futuro e passa a ser uma não conformidade presente. Isso pode significar perda de contratos com bancos e fintechs que agora precisam comprovar, para o próprio Banco Central, que só trabalham com fornecedores credenciados.
Para quem contrata o PSTI: instituições financeiras que mantêm contratos com fornecedores não adequados assumem parte do risco regulatório dessa não conformidade — o que tende a acelerar renegociações de contrato, auditorias de fornecedores e, em alguns casos, substituição de parceiros tecnológicos que não conseguem comprovar a apólice e a governança exigidas.
Na prática, isso está mudando o critério de seleção de fornecedores no setor financeiro: ter seguro cibernético compatível com a resolução deixou de ser diferencial e virou pré-requisito para continuar na mesa de negociação.
Por que o seguro cibernético é o ponto mais delicado da adequação
Dos requisitos da Resolução BCB 498, o seguro é o que mais gera dúvida na prática — porque a norma não pede “um seguro cyber genérico”. Ela exige cobertura específica para responsabilidade civil e riscos operacionais, incluindo fraude e incidentes de segurança cibernética, dentro de limites compatíveis com o porte da operação.
Isso significa que uma apólice pensada para uma PME comum, sem esse desenho específico, pode não atender ao que o Banco Central espera de um PSTI. É aqui que entra a diferença entre comprar uma apólice qualquer e estruturar uma cobertura pensada para esse enquadramento regulatório — com um corretor que entende tanto o lado técnico de segurança da informação quanto o texto da resolução.
O que fazer se sua empresa ainda não se adequou
Se você atua como PSTI (ou fornece tecnologia para instituições financeiras e fintechs) e ainda não formalizou essa adequação, os próximos passos práticos são:
- Mapear se sua operação se enquadra como PSTI dentro da definição da resolução
- Revisar se a apólice atual (se houver) cobre responsabilidade civil e riscos operacionais na forma exigida
- Alinhar com compliance e jurídico a documentação que pode ser exigida pelos seus clientes do setor financeiro
- Estruturar, com um corretor especializado, uma cobertura de seguro cibernético desenhada para esse cenário — não uma apólice padrão adaptada às pressas
A Cyber Insurance foi criada por profissionais de segurança da informação, especificamente para desenhar coberturas de seguro cibernético que fazem sentido técnico e regulatório — não apenas comercial. Se sua empresa presta serviços para o sistema financeiro e quer entender se está de fato coberta pelo que a Resolução BCB 498 exige, fale com nossa equipe e peça uma cotação.