No pedido de autorização, a prestadora de serviços de ativos virtuais comprova o atendimento às normas de política de segurança cibernética, plano de ação e de resposta a incidentes e contratação de serviços de processamento, armazenamento de dados e computação em nuvem (Res. BCB 520/2025, art. 88, II, "b").
Responda sim, não ou não sei.
1. Política de segurança cibernética
A norma de referência é a Res. BCB 85/2021.
- 01
A política foi aprovada pela diretoria (ou pelo conselho, se houver), com ata?
Res. BCB 85, art. 9º
- 02
Há um diretor designado como responsável pela política e pela execução do plano, e ele sabe disso?
Res. BCB 85, art. 7º; Res. BCB 520, art. 14, III, "e"
- 03
A política cobre os quatorze controles mínimos, da autenticação às ações de inteligência no ambiente cibernético?
Res. BCB 85, art. 3º, § 2º
- 04
Ela descreve os controles adotados hoje, e não os que a empresa pretende ter?
Res. BCB 85, art. 3º, II
- 05
Há trilhas de auditoria, com tempo de retenção definido por tipo de processamento e guarda segura?
Res. BCB 85, art. 3º, § 7º
2. Plano de ação e de resposta a incidentes
- 06
O plano existe, foi aprovado e diz qual área registra e controla os incidentes relevantes?
Res. BCB 85, arts. 6º e 9º
- 07
Ele lista as ações para adequar a estrutura da empresa à política?
Res. BCB 85, art. 6º, parágrafo único, I
- 08
Está escrito quando um incidente passa a ser situação de crise e é comunicado ao Banco Central?
Res. BCB 85, art. 20, III
- 09
Política e plano têm data marcada para a revisão anual?
Res. BCB 85, art. 10
3. Nuvem e serviços de processamento e armazenamento de dados
- 10
A capacidade do provedor foi avaliada e documentada antes da contratação?
Res. BCB 85, art. 12
- 11
A contratação foi comunicada ao Banco Central em até dez dias?
Res. BCB 85, art. 15, § 2º
- 12
Para provedor no exterior: países e regiões foram definidos antes de contratar, e há alternativa de continuidade se o contrato acabar?
Res. BCB 85, art. 16, III e IV
- 13
O contrato tem as cláusulas mínimas, entre elas acesso do Banco Central, segregação dos dados e transferência e exclusão no encerramento?
Res. BCB 85, art. 17
4. O que acompanha os três documentos em ativos virtuais
- 14
A política de guarda dos instrumentos de controle dos ativos está documentada e é compatível com a política de segurança cibernética?
Res. BCB 520, art. 49, caput e § 4º
- 15
Cada provedor de tecnologia usado na custódia atestou, em documento específico, que não consegue afetar a custódia nem os direitos sobre os ativos?
Res. BCB 520, art. 9º, § 6º
- 16
Há teste de intrusão com periodicidade mínima anual, feito com independência, e com resultados e planos de correção documentados?
Res. BCB 85, art. 22-A
- 17
Alguém da tecnologia é dono do envio diário e mensal de dados ao Banco Central, que começa no protocolo?
Res. BCB 520, art. 88, III; IN BCB 713/2026, arts. 3º a 6º
Como ler o resultado. Cada "não" é uma lacuna com artigo: precisa de responsável e de prazo. Cada "não sei" é um sinal anterior: ninguém na empresa responde hoje por aquele ponto. O regulador não avalia a política. Avalia a evidência de que o controle funciona.
Esta lista cobre a parte técnica mais visível do pedido. Não é a lista completa das exigências, não substitui a leitura das normas e não é parecer jurídico. Textos conferidos na versão vigente no site do Banco Central em 03/10/2026. A leitura sobre o alcance de cada norma para a sua empresa cabe ao seu jurídico.
As respostas ficam só nesta página, no seu navegador. A OLV não recebe nem guarda o que você marca.
Próximo passo