{"id":24436,"date":"2026-10-07T14:50:15","date_gmt":"2026-10-07T12:50:15","guid":{"rendered":"https:\/\/redtrust.com\/?p=24436"},"modified":"2026-10-13T16:57:22","modified_gmt":"2026-10-13T14:57:22","slug":"resolucao-cmn-5274-certificados-digitais","status":"publish","type":"post","link":"https:\/\/redtrust.com\/pt-br\/resolucao-cmn-5274-certificados-digitais\/","title":{"rendered":"Resolu\u00e7\u00e3o CMN 5.274: como adequar-se e fazer a gest\u00e3o de certificados digitais em institui\u00e7\u00f5es financeiras"},"content":{"rendered":"

[et_pb_section fb_built=”1″ _builder_version=”4.27.4″ _module_preset=”default” global_colors_info=”{}”][et_pb_row _builder_version=”4.27.4″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.27.4″ _module_preset=”default” global_colors_info=”{}”][et_pb_text _builder_version=”4.27.7″ text_text_color=”#171529″ header_2_text_color=”#E62E3B” header_3_text_color=”#E62E3B” header_4_text_color=”#E62E3B” background_size=”initial” background_position=”top_left” background_repeat=”repeat” global_colors_info=”{}”]A Resolu\u00e7\u00e3o CMN n\u00ba 5.274\/2025<\/strong> incluiu requisitos espec\u00edficos para a gest\u00e3o de certificados digitais nos controles de seguran\u00e7a cibern\u00e9tica das institui\u00e7\u00f5es financeiras. Eles envolvem monitoramento de uso, prote\u00e7\u00e3o das chaves privadas, preven\u00e7\u00e3o do compartilhamento indevido e verifica\u00e7\u00e3o de certificados revogados.<\/p>\n

Para as equipes de TI, Seguran\u00e7a da Informa\u00e7\u00e3o e Compliance, isso traz perguntas pr\u00e1ticas: quem pode utilizar cada certificado? Onde est\u00e3o suas chaves privadas? Quais registros permitem investigar uma utiliza\u00e7\u00e3o?<\/p>\n

Quando essas respostas dependem de arquivos distribu\u00eddos entre computadores, senhas compartilhadas ou informa\u00e7\u00f5es desatualizadas, a institui\u00e7\u00e3o encontra dificuldades para controlar sua identidade digital e avaliar a efetividade das medidas de prote\u00e7\u00e3o.<\/p>\n

Neste artigo, veja quais requisitos est\u00e3o relacionados aos certificados digitais, como organizar sua aplica\u00e7\u00e3o e de que forma a Redtrust pode apoiar esse trabalho.<\/p>\n

O que \u00e9 a Resolu\u00e7\u00e3o CMN n\u00ba 5.274\/2025?<\/strong><\/h2>\n

A Resolu\u00e7\u00e3o CMN n\u00ba 5.274<\/a>, de 18 de dezembro de 2025, altera a Resolu\u00e7\u00e3o CMN n\u00ba 4.893\/2021, que disciplina a seguran\u00e7a cibern\u00e9tica e a contrata\u00e7\u00e3o de servi\u00e7os de processamento, armazenamento de dados e computa\u00e7\u00e3o em nuvem.<\/p>\n

A atualiza\u00e7\u00e3o detalha controles que incluem autentica\u00e7\u00e3o, prote\u00e7\u00e3o de redes, rastreabilidade e gest\u00e3o de certificados.<\/p>\n

A norma entrou em vigor na data de sua publica\u00e7\u00e3o e estabeleceu 1\u00ba de mar\u00e7o de 2026<\/strong> como prazo de adequa\u00e7\u00e3o para as institui\u00e7\u00f5es que j\u00e1 estavam em funcionamento. O trabalho agora envolve manter os controles operacionais e avaliar sua efetividade.<\/p>\n

Quais institui\u00e7\u00f5es precisam observar essas exig\u00eancias?<\/strong><\/h2>\n

O enquadramento depende da categoria regulat\u00f3ria da institui\u00e7\u00e3o. Bancos e cooperativas de cr\u00e9dito est\u00e3o entre as institui\u00e7\u00f5es abrangidas pela Resolu\u00e7\u00e3o CMN n\u00ba 4.893\/2021 e suas altera\u00e7\u00f5es.<\/p>\n

O \u00e2mbito dessa resolu\u00e7\u00e3o exclui administradoras de cons\u00f3rcio, institui\u00e7\u00f5es de pagamento, sociedades corretoras de t\u00edtulos e valores mobili\u00e1rios, sociedades distribuidoras de t\u00edtulos e valores mobili\u00e1rios e sociedades corretoras de c\u00e2mbio. bcb.gov.br<\/p>\n

Para institui\u00e7\u00f5es de pagamento e para essas categorias de corretoras e distribuidoras autorizadas pelo Banco Central, a refer\u00eancia de seguran\u00e7a cibern\u00e9tica \u00e9 a Resolu\u00e7\u00e3o BCB n\u00ba 85\/2021, atualizada pela Resolu\u00e7\u00e3o BCB n\u00ba 538\/2025<\/a>.<\/p>\n

Por isso, a denomina\u00e7\u00e3o comercial \u201cfintech\u201d n\u00e3o basta para determinar a norma aplic\u00e1vel. A an\u00e1lise deve considerar a autoriza\u00e7\u00e3o de funcionamento e as atividades da institui\u00e7\u00e3o.<\/p>\n

O que a CMN 5.274 exige sobre certificados digitais?<\/strong><\/h2>\n

O art. 3\u00ba, \u00a7 12, da Resolu\u00e7\u00e3o CMN n\u00ba 4.893\/2021, inclu\u00eddo pela CMN n\u00ba 5.274, estabelece quatro requisitos m\u00ednimos. A tabela resume seus objetivos:
\n[\/et_pb_text][et_pb_code _builder_version=”4.27.7″ _module_preset=”default” global_colors_info=”{}”]<\/p>\n

<\/p>\n<\/p>\n<\/p>\n<\/p>\n<\/p>\n<\/p>\n<\/p>\n<\/p>\n<\/p>\n
Requisito <\/th>\n

<\/p>\n

 Objetivo do controle <\/th>\n

<\/tr>\n

<\/thead>\n

<\/p>\n

Monitorar certificados e assinaturas digitais <\/td>\n

<\/p>\n

 Permitir o acompanhamento das utiliza\u00e7\u00f5es com rastreabilidade. <\/td>\n

<\/tr>\n

<\/p>\n

Proteger as chaves privadas <\/td>\n

<\/p>\n

 Controlar o acesso f\u00edsico e l\u00f3gico \u00e0s chaves sob responsabilidade da institui\u00e7\u00e3o. <\/td>\n

<\/tr>\n

<\/p>\n

Evitar o compartilhamento indevido <\/td>\n

<\/p>\n

 Adotar procedimentos e ferramentas contra a distribui\u00e7\u00e3o inadequada das chaves privadas. <\/td>\n

<\/tr>\n

<\/p>\n

Verificar certificados revogados <\/td>\n

<\/p>\n

 Validar tempestivamente a situa\u00e7\u00e3o de revoga\u00e7\u00e3o perante as autoridades certificadoras. <\/td>\n

<\/tr>\n

<\/tbody>\n

<\/table>\n

<\/div>\n

[\/et_pb_code][et_pb_text _builder_version=”4.27.7″ text_text_color=”#171529″ header_2_text_color=”#E62E3B” header_3_text_color=”#E62E3B” header_4_text_color=”#E62E3B” background_size=”initial” background_position=”top_left” background_repeat=”repeat” global_colors_info=”{}”]<\/p>\n

Esses requisitos combinam prote\u00e7\u00e3o da credencial e controle de sua utiliza\u00e7\u00e3o. A<\/span>\u00a0institui\u00e7\u00e3o precisa conectar as regras documentadas aos mecanismos utilizados pelas equipes. Ter uma rela\u00e7\u00e3o de certificados, por exemplo, ajuda no invent\u00e1rio, mas n\u00e3o demonstra, isoladamente, que os acessos est\u00e3o limitados ou que as utiliza\u00e7\u00f5es s\u00e3o monitoradas.<\/span>\u00a0<\/span><\/p>\n

[\/et_pb_text][et_pb_cta button_url=”https:\/\/redtrust.com\/pt-br\/recursos\/guia-controle-certificados-bancos\/” url_new_window=”on” button_text=”Baixe o Guia” admin_label=”Llamada a la acci\u00f3n” _builder_version=”4.27.7″ _module_preset=”default” background_color=”#EAF0F2″ global_colors_info=”{}”]<\/p>\n

Quer aprofundar o tema? Acesse o guia da Redtrust sobre <\/span><\/span>controle de certificados digitais no setor financeiro.<\/span><\/strong><\/h4>\n

[\/et_pb_cta][et_pb_text _builder_version=”4.27.7″ header_2_font=”|600|||||||” header_2_text_color=”#E62E3B” header_3_font=”|600|||||||” header_3_text_color=”#E62E3B” background_size=”initial” background_position=”top_left” background_repeat=”repeat” global_colors_info=”{}”]<\/p>\n

<\/strong><\/h2>\n

Como aplicar os controles de certificados na rotina da institui\u00e7\u00e3o financeira?<\/strong><\/h2>\n

A implementa\u00e7\u00e3o de um controle adequado deve considerar os processos, a infraestrutura e os riscos da institui\u00e7\u00e3o. As medidas abaixo ajudam a transformar os requisitos em atividades que possam ser executadas e verificadas.<\/p>\n

1. Relacionar certificados, respons\u00e1veis e opera\u00e7\u00f5es<\/h3>\n

O levantamento inicial deve identificar quais certificados s\u00e3o utilizados, onde est\u00e3o armazenados, quem responde por eles e quais atividades dependem de sua disponibilidade.<\/p>\n

Em uma institui\u00e7\u00e3o financeira, esse mapeamento pode envolver diferentes \u00e1reas, como Fiscal, Jur\u00eddico, Recursos Humanos e Opera\u00e7\u00f5es. Para cada uso, \u00e9 importante conhecer os sistemas envolvidos e as pessoas autorizadas.<\/p>\n

Tamb\u00e9m conv\u00e9m distinguir certificados utilizados em rotinas administrativas daqueles empregados em ambientes transacionais. Essa separa\u00e7\u00e3o ajuda a avaliar as necessidades de prote\u00e7\u00e3o e continuidade de cada contexto.<\/p>\n

2. Transformar autoriza\u00e7\u00f5es em permiss\u00f5es de uso<\/h3>\n

As permiss\u00f5es devem corresponder \u00e0s atividades de cada profissional. O acesso necess\u00e1rio para uma rotina fiscal, por exemplo, n\u00e3o deve liberar automaticamente utiliza\u00e7\u00f5es em outros sistemas.<\/p>\n

A institui\u00e7\u00e3o pode organizar esse controle definindo:<\/p>\n