Segurança e Compliance · 7 min de leitura

Gestão de certificados digitais para instituições financeiras: o que exige a Resolução CMN 5.274

Daniele Consoni

doc9 · publicado em agosto 11, 2026 · atualizado em agosto 18, 2026

Compartilhe: LinkedIn X

Bancos, fintechs e demais instituições autorizadas pelo Banco Central têm novas exigências regulatórias para a gestão de certificados digitais.

Bancos, fintechs e demais instituições autorizadas pelo Banco Central já estão sujeitas às exigências regulatórias para a gestão de certificados digitais.

A Resolução CMN nº 5.274/2025, publicada em 18 de dezembro de 2025, alterou a Resolução CMN nº 4.893/2021. E, entre as mudanças, reforçou os controles de segurança cibernética exigidos das instituições financeiras, incluindo o ciclo de vida de certificados digitais e chaves criptográficas.

A Resolução BCB nº 538/2025, norma espelho, estende exigências equivalentes às instituições de pagamento, categoria em que se enquadra boa parte das fintechs. O prazo de adequação terminou em 1º de março de 2026. Instituições que ainda não se adequaram já estão sujeitas à fiscalização do Banco Central e a eventuais sanções.

O que são a Resolução CMN 5.274/2025 e a Resolução BCB 538/2025

A Resolução CMN nº 5.274/2025 se aplica a instituições financeiras autorizadas a funcionar pelo Banco Central, como bancos e cooperativas de crédito. Uma norma espelho, a Resolução BCB nº 538/2025, estende exigências equivalentes a instituições de pagamento, corretoras e distribuidoras. Juntas, as duas atualizam o marco de segurança cibernética instituído pela Resolução CMN 4.893/2021.

No caso das fintechs, o enquadramento depende da autorização de funcionamento, não do rótulo comercial: quem opera como instituição de pagamento responde à BCB 538; quem tem licença de instituição financeira, como SCD ou SEP, responde à CMN 5.274. Muitas acumulam as duas autorizações e, nesse caso, respondem às duas normas.

O que a norma exige da gestão de certificados digitais

Entre os pontos mais diretamente ligados à gestão de certificados digitais e chaves criptográficas, a norma exige:

Controle de ciclo de vida completo: emissão, uso, renovação e revogação de certificados digitais de forma rastreável, com responsável identificado em cada etapa
Autenticação multifator (MFA) para acessos administrativos a sistemas críticos, eliminando o login simples como única barreira
Vedação de acesso de terceiros às chaves privadas de assinatura digital, o que exige controles capazes de impedir esse tipo de acesso
Isolamento de ambientes críticos, como os sistemas ligados a Pix e STR, em relação ao restante da infraestrutura, para que uma falha em um sistema não comprometa o outro

Esses controles são exigidos e já fiscalizáveis. Todos pressupõem visibilidade: a instituição precisa saber, a qualquer momento, quantos certificados tem, quem tem acesso a cada um e o que foi feito com eles.

Os riscos de não estar em conformidade

Instituições que ainda operam com controles informais de certificados digitais, como o compartilhamento por diferentes meios, inclusive e-mail, sem controle de acesso ou trilha de auditoria, têm dificuldade de demonstrar conformidade em uma fiscalização do Banco Central.

Nesses arranjos, a assinatura continua registrada em nome do titular do certificado, sem indicar quem efetivamente realizou a operação. O acesso de terceiros às chaves privadas, por sua vez, é vedado pela norma.

O risco não é só regulatório. Sem controle de acesso e trilha de auditoria, a instituição também não tem como provar, internamente ou para o regulador, quem usou qual certificado, quando e para qual operação. Em uma fiscalização, política de segurança documentada não substitui registro de acesso.

Há ainda um risco menos falado: o operacional. A dependência de token físico pode gerar gargalos quando o volume de operações cresce. Já o compartilhamento de arquivos de certificado e senhas, por e-mail ou outros meios, reduz o controle sobre quem pode usar a chave privada.

Como estruturar a gestão de certificados digitais em conformidade

A adequação envolve processo e governança, além da adoção de uma ferramenta. Na prática, a instituição precisa reorganizar como lida com certificados digitais em três frentes:

onde eles ficam armazenados;
quem pode acessá-los; e
como cada acesso é registrado.

Centralização e controle de acesso

O primeiro passo é eliminar o compartilhamento informal de certificados entre áreas como jurídico, compliance, TI e operações. Isso significa substituir arquivos e senhas repassados entre pessoas ou áreas, por e-mail ou outros meios, por uma plataforma que concede acesso por usuário, sistema e horário, sem que o certificado em si precise ser copiado ou repassado.

Trilha de auditoria e evidência para fiscalização

Uma trilha de auditoria imutável transforma a política de acesso em evidência verificável, registrando usuário, data e sistema. Esse histórico permite à instituição responder a uma fiscalização do Banco Central com precisão.

Segregação entre áreas e fornecedores

Jurídico, compliance, TI e operações costumam usar certificados diferentes para finalidades diferentes, mas em muitas instituições esses certificados ainda circulam pela mesma planilha de controle, sem segregação real.

Definir política de acesso por área, com revisão periódica de quem ainda precisa daquele nível de permissão, reduz a superfície de risco sem travar a operação do dia a dia.

Whom.doc9: governança de certificados para instituições financeiras reguladas

O Whom.doc9 centraliza certificados digitais em nuvem, com controle de acesso granular por usuário, sistema, horário e IP, e trilha de auditoria imutável de cada operação, sem exigir instalação nas máquinas da equipe.

A plataforma já soma mais de 100 mil usuários ativos e 4 anos de operação sem nenhum incidente de segurança registrado. Agende uma demonstração do Whom.doc9

Certificados digitais na empresa: além do setor financeiro

A lógica por trás da CMN 5.274 (controle de acesso, trilha de auditoria e proteção das chaves privadas) não é exclusiva do setor financeiro. É o mesmo problema que qualquer empresa com múltiplos certificados enfrenta.

Veja nosso guia completo de gestão de certificados digitais para uma visão mais ampla do tema.

Perguntas frequentes

Quais instituições precisam se adequar à Resolução CMN 5.274 e à Resolução BCB 538?

Instituições financeiras autorizadas pelo Banco Central (bancos, cooperativas de crédito) se enquadram na CMN 5.274. Instituições de pagamento, corretoras e distribuidoras se enquadram na norma espelho, a BCB 538.

Fintechs precisam se adequar à Resolução CMN 5.274 ou à BCB 538?

Depende da autorização de funcionamento, não do rótulo comercial. Fintechs autorizadas como instituição de pagamento se enquadram na BCB 538; as que operam com licença de instituição financeira, como SCD ou SEP, se enquadram na CMN 5.274. Muitas acumulam as duas autorizações e, nesse caso, respondem às duas normas.

Compartilhar certificado digital entre colaboradores viola a Resolução CMN 5.274?

A comprovação depende de evidências rastreáveis, como o log imutável de cada acesso, mostrando quem usou o certificado, quando e em qual sistema.

Como comprovar conformidade nos controles de certificados digitais em uma fiscalização?

Com evidência, não com política escrita: log imutável de cada acesso, mostrando quem usou o certificado, quando e em qual sistema.

Fornecedores de tecnologia também precisam se adequar à Resolução CMN 5.274?

A norma se dirige às instituições financeiras autorizadas pelo Banco Central, mas essas instituições passam a exigir de seus fornecedores garantias de segurança compatíveis, o que indiretamente pressiona toda a cadeia.