Segurança e Compliance · 7 min de leitura

Gestão de certificados digitais para instituições financeiras: o que exige a Resolução CMN 5.274

Daniele Consoni

doc9 · publicado em agosto 11, 2026

Compartilhe: LinkedIn X

Bancos, fintechs e demais instituições autorizadas pelo Banco Central têm novas exigências regulatórias para a gestão de certificados digitais. A Resolução CMN nº 5.274/2025, publicada em 18 de dezembro de 2025, alterou a Resolução CMN nº 4.893/2021 e reforçou os controles de segurança cibernética exigidos das instituições financeiras, incluindo o ciclo de vida de certificados digitais e chaves criptográficas. Sua norma espelho, a Resolução BCB nº 538/2025, estende as mesmas exigências às instituições de pagamento, categoria em que se enquadra boa parte das fintechs.

O prazo de adequação terminou em 1º de março de 2026. Ou seja, para quem ainda não se adequou, a fase atual não é mais de planejamento, é de exposição.

O que são a Resolução CMN 5.274/2025 e a Resolução BCB 538/2025

A Resolução CMN nº 5.274/2025 se aplica a instituições financeiras autorizadas a funcionar pelo Banco Central, como bancos e cooperativas de crédito. Uma norma espelho, a Resolução BCB nº 538/2025, estende exigências equivalentes a instituições de pagamento, corretoras e distribuidoras. Juntas, as duas atualizam o marco de segurança cibernética instituído pela Resolução CMN 4.893/2021.

No caso das fintechs, o enquadramento depende da autorização de funcionamento, não do rótulo comercial: quem opera como instituição de pagamento responde à BCB 538; quem tem licença de instituição financeira, como SCD ou SEP, responde à CMN 5.274. Muitas acumulam as duas autorizações e, nesse caso, respondem às duas normas.

O que a norma exige da gestão de certificados digitais

Entre os pontos mais diretamente ligados à gestão de certificados digitais e chaves criptográficas, a norma exige:

Controle de ciclo de vida completo: emissão, uso, renovação e revogação de certificados digitais de forma rastreável, com responsável identificado em cada etapa
Autenticação multifator (MFA) para acessos administrativos a sistemas críticos, eliminando o login simples como única barreira
Vedação de acesso de terceiros às chaves privadas de assinatura digital, o que torna o compartilhamento informal uma não conformidade direta, não apenas um risco operacional
Isolamento de ambientes críticos, como os sistemas ligados a Pix e STR, em relação ao restante da infraestrutura, para que uma falha em um sistema não comprometa o outro

Não é uma recomendação de boas práticas. É controle exigido, com prazo já vencido, e cada um desses pontos pressupõe visibilidade: a instituição precisa saber, a qualquer momento, quantos certificados tem, quem tem acesso a cada um e o que foi feito com eles.

Os riscos de não estar em conformidade

O prazo de adequação previsto pela norma encerrou em 1º de março de 2026. Isso significa que instituições ainda operando com controles informais de certificados digitais (compartilhamento por e-mail, ausência de trilha de auditoria, acesso de terceiros a chaves privadas) não estão em fase de aviso prévio: estão em situação de não conformidade ativa, sujeitas à fiscalização do Banco Central.

O risco não é só regulatório. Sem controle de acesso e trilha de auditoria, a instituição também não tem como provar, internamente ou para o regulador, quem usou qual certificado, quando e para qual operação. Em uma fiscalização, a diferença entre “temos uma política de segurança” e “temos o log de cada acesso dos últimos doze meses” é a diferença entre uma resposta que convence e uma que levanta mais perguntas.

Há ainda um risco menos falado: o operacional. Instituições que ainda dependem de token físico ou de certificado compartilhado por e-mail enfrentam gargalos reais quando o volume de operações cresce, exatamente o tipo de fragilidade que uma auditoria de segurança cibernética está preparada para identificar.

Como estruturar a gestão de certificados digitais em conformidade

Adequar-se à norma não significa comprar uma ferramenta e declarar o problema resolvido, mas reorganizar como a instituição lida com certificados digitais em três frentes:

onde eles ficam armazenados;
quem pode acessá-los; e
como cada acesso é registrado.

Centralização e controle de acesso

O primeiro passo é eliminar o compartilhamento informal de certificados entre áreas como jurídico, compliance, TI e operações. Isso significa migrar de arquivos e senhas circulando por e-mail para uma plataforma que concede acesso por usuário, sistema e horário, sem que o certificado em si precise ser copiado ou repassado.

Trilha de auditoria e evidência para fiscalização

Conformidade não se prova com política escrita, se prova com evidência. Um log imutável de cada acesso ao certificado (quem, quando, em qual sistema) é o que permite à instituição responder a uma fiscalização do Banco Central com dados, não com promessas.

Segregação entre áreas e fornecedores

Jurídico, compliance, TI e operações costumam usar certificados diferentes para finalidades diferentes, mas em muitas instituições esses certificados ainda circulam pela mesma planilha de controle, sem segregação real. Definir política de acesso por área, com revisão periódica de quem ainda precisa daquele nível de permissão, reduz a superfície de risco sem travar a operação do dia a dia.

Whom.doc9: governança de certificados para instituições financeiras reguladas

O Whom.doc9 centraliza certificados digitais em nuvem, com controle de acesso granular por usuário, sistema, horário e IP, e trilha de auditoria imutável de cada operação, sem exigir instalação nas máquinas da equipe.

A plataforma já soma mais de 100 mil usuários ativos e 4 anos de operação sem nenhum incidente de segurança registrado.

Agende uma demonstração do Whom.doc9

Certificados digitais na empresa: além do setor financeiro

A lógica por trás da CMN 5.274 (controle de acesso, trilha de auditoria, fim do compartilhamento informal) não é exclusiva do setor financeiro. É o mesmo problema que qualquer empresa com múltiplos certificados enfrenta.

Veja nosso guia completo de gestão de certificados digitais para uma visão mais ampla do tema.

Perguntas frequentes

Quais instituições precisam se adequar à Resolução CMN 5.274 e à Resolução BCB 538?

Instituições financeiras autorizadas pelo Banco Central (bancos, cooperativas de crédito) se enquadram na CMN 5.274. Instituições de pagamento, corretoras e distribuidoras se enquadram na norma espelho, a BCB 538.

Fintechs precisam se adequar à Resolução CMN 5.274 ou à BCB 538?

Depende da autorização de funcionamento, não do rótulo comercial. Fintechs autorizadas como instituição de pagamento se enquadram na BCB 538; as que operam com licença de instituição financeira, como SCD ou SEP, se enquadram na CMN 5.274. Muitas acumulam as duas autorizações e, nesse caso, respondem às duas normas.

Compartilhar certificado digital entre colaboradores viola a Resolução CMN 5.274?

O compartilhamento sem controle de acesso e sem trilha de auditoria conflita diretamente com as exigências da norma, que veda acesso de terceiros a chaves privadas de assinatura digital.

Como comprovar conformidade nos controles de certificados digitais em uma fiscalização?

Com evidência, não com política escrita: log imutável de cada acesso, mostrando quem usou o certificado, quando e em qual sistema.

Fornecedores de tecnologia também precisam se adequar à Resolução CMN 5.274?

A norma se dirige às instituições financeiras autorizadas pelo Banco Central, mas essas instituições passam a exigir de seus fornecedores garantias de segurança compatíveis, o que indiretamente pressiona toda a cadeia.