O prazo venceu em 1º de março de 2026. Há quase cinco meses. Quem ainda não está conforme com a Resolução CMN nº 5.274/2025 opera em situação irregular. O Banco Central exige. Sem negociação.
Gabriel Muricca Galípolo assinou em 18 de dezembro de 2025. Publicada no DOU em 22/12/2025. Entrou em vigor na publicação. A 5.274 altera a CMN 4.893/2021, detalha 14 controles obrigatórios no Art. 3º, § 2º, e adiciona três artigos novos: 3º-A (Pix e STR), 22-A (pentest anual) e 22-B (RSFN como serviço relevante). A norma-irmã BCB 538/2025 espelha o mesmo prazo para instituições de pagamento, corretoras de câmbio e distribuidoras de valores. Nenhuma prorrogação oficial.
As quatro exigências que derrubam instituição
O checklist do auditor tem quatro exigências que, sozinhas, bastam para marcar não-conformidade.
1. MFA obrigatório. Acesso externo à rede corporativa exige MFA. Acesso administrativo aos ambientes Pix e STR também exige MFA, agora no Art. 3º-A. Sem MFA, não-conformidade direta — não há interpretação, não há controle compensatório.
2. Isolamento do Pix e do STR. Físico e lógico. Em nuvem, instância dedicada e apartada. Empresas prestadoras de serviços não podem tocar chaves privadas dos certificados de assinatura. Vedação expressa — a instituição mantém a custódia, o prestador não.
3. Inteligência cibernética (inciso XIV, novidade). Monitoramento de internet, Deep Web, Dark Web e grupos privados. Sem esse monitoramento, o auditor marca como lacuna. O controle é novidade no Art. 3º, § 2º, inciso XIV, e reflete a realidade do roubo de credenciais como vetor primário em incidentes financeiros.
4. Pentest anual independente (Art. 22-A). Pessoa natural ou empresa especializada. Resultados documentados com planos de ação. Evidências retidas por 5 anos, conforme Art. 23, X. Laudo sem plano de ação não satisfaz o requisito.
Os outros 12 controles do Art. 3º, § 2º
Os demais 12 controles do Art. 3º, § 2º cobrem toda a superfície de resiliência cibernética: criptografia, IDS/IPS, DLP, antimalware, trilhas de auditoria, backup, gestão de vulnerabilidades, revisão de acessos de terceirizados, hardening, segmentação de rede, gestão de certificados e requisitos para APIs e Open Finance.
Cada controle deve ser documentado, evidenciado e auditável. O auditor não aceita "temos algo parecido". O auditor espera política, evidência de execução e ciclo de revisão. Trilhas de auditoria têm que ser fim a fim. Backup tem que ser testado. Gestão de vulnerabilidades tem que mostrar cadência, não scan pontual. Revisão de acessos de terceirizados tem que acontecer em frequência definida. Gestão de certificados tem que incluir custódia de chaves privadas. APIs e endpoints de Open Finance têm que atender aos requisitos documentados.
O framework de penalidade: Lei 4.595/1964
O framework de penalidade é a Lei 4.595/1964: multa, processo administrativo sancionador (PAS) e cassação de autorização. Casos precedentes históricos variam entre 50 mil reais e 2 milhões de reais. Não há tabela pública oficial — os valores vêm de histórico de casos publicados, e a multa efetiva depende do capital da instituição, da gravidade da violação e da reincidência.
A norma-irmã BCB 538/2025 espelha o mesmo prazo para instituições de pagamento, corretoras de câmbio e distribuidoras de valores. O escopo difere — a CMN 5.274 cobre instituições bancárias, a BCB 538/2025 cobre o ecossistema de pagamento — mas o prazo e os controles estão alinhados. Nenhuma prorrogação oficial foi concedida para nenhuma das duas.
O que a Tech86 implementa
Nós implementamos a superfície completa de controles exigida pela Resolução CMN nº 5.274/2025:
- SOC 24/7 com MDR. Dwell time colapsada para horas. Cobre IDS/IPS, antimalware e trilhas de auditoria fim a fim.
- MFA corporativo e hardening de endpoints e servidores. Perfis de configuração segura documentados.
- Pentest anual independente com laudo e planos de ação. Retenção de evidências em 5 anos, conforme Art. 23, X.
- Gestão de certificados digitais com guarda de chaves privadas em cofre com controle físico e lógico. Prestadores nunca tocam as chaves privadas dos certificados de assinatura.
- Dark Web monitoring e inteligência cibernética. Monitoramento de credenciais e certificados do SPI em internet, Deep Web, Dark Web e grupos privados.
- Segmentação de rede com isolamento do ambiente Pix. Incident response com preservação de evidências.
Conclusão
O auditor do BACEN já está em campo. A pergunta é se ele encontra você conforme.
O prazo venceu em 1º de março de 2026. Há quase cinco meses. A Resolução CMN nº 5.274/2025 não é um roadmap — é um requisito em vigor. Os 14 controles obrigatórios do Art. 3º, § 2º, o isolamento do Pix e do STR do Art. 3º-A, o pentest anual do Art. 22-A e a classificação do RSFN do Art. 22-B estão todos exigíveis hoje. O framework de penalidade da Lei 4.595/1964 — multa, PAS, cassação — não é teórico. A faixa de precedente de 50 mil a 2 milhões de reais é dado histórico de casos, não tabela publicada, mas é a faixa com a qual o auditor trabalha.
Na Tech86, nós ajudamos instituições financeiras a alcançar e manter conformidade com a Resolução BACEN 5.274 — do deploy de MFA ao isolamento do Pix, da inteligência cibernética ao pentest anual independente. O auditor está em campo. A pergunta é se ele encontra você conforme.