BCB realiza ajustes regulatórios para reforçar segurança no Pix e nas instituições de pagamento

No início de setembro, o BCB publicou a Resolução BCB nº 494/25 (“RBCB 494”) para alterar a Resolução BCB nº 80/21 (“RBCB 80”), responsável por disciplinar a constituição e o funcionamento das IPs; além da Resolução BCB nº 496/25 (“RBCB 496”) e da Resolução BCB nº 503/25 (“RBCB 503”), destinadas a promover mudanças na Resolução BCB nº 01/20 (“RBCB 01”), que instituiu o arranjo do Pix e seu Regulamento; e a Resolução BCB nº 501/25 (“RBCB 501”), que modifica a Resolução BCB nº 142/21 (“RBCB 142”), que trata dos procedimentos de prevenção a fraudes em serviços de pagamento.

De acordo com as Exposições de Motivos vinculadas a essas modificações regulatórias, as atualizações normativas têm como objetivo aprimorar a segurança do Sistema de Pagamentos Brasileiro (“SPB”) e fortalecer a supervisão sobre participantes do Pix e Instituições de Pagamento (“IP”).

A RBCB 80 exigia a autorização para funcionamento do BCB de forma prévia apenas a emissores de moeda eletrônica e iniciadores de transação de pagamento, sendo dispensado para as IPs atuantes nas modalidades de emissor de instrumento pós-pago e credenciamento que tivessem até R$ 500 mil em volume de operações. A partir da publicação da RBCB 494, a obrigatoriedade de autorização de funcionamento prévia ao início das atividades foi ampliada para todas as modalidades de IPs. As instituições que já operavam sem necessidade de autorização nessas modalidades até o dia 05 de setembro (data do vigor da norma), poderão regularizar sua situação no período entre o dia 1º ao 31 de maio de 2026.

Já a RBCB 496 antecipou do cronograma de autorização para as IPs participantes do Pix ou que estejam em processo de adesão ao Pix: todas essas instituições deverão solicitar autorização para funcionamento entre os dias 1º de janeiro e 1º de maio de 2026.

Além disso, essa norma também modificou o exercício da função de “Participante Responsável” no Pix, que passa a ser restrito a instituições classificadas nos segmentos S1 a S4, conforme definido na Resolução CMN nº 4.553/17 (“RCMN 4.553”). Para exercer essa função, a instituição também deverá atuar como provedora de conta transacional ou liquidante especial, ser participante direto do Sistema de Pagamentos Instantâneos (SPI), e não ser cooperativa de crédito ou confederação de serviços, o que garante maior robustez prudencial para entidades que assumem papel crítico no arranjo Pix. Os contratos vigentes deverão ser ajustados em até 180 dias contados a partir de 05 de setembro deste ano.

A RBCB 496 também traz regras específicas para transações realizadas por participantes não autorizados ou que acessam a Rede do Sistema Financeiro Nacional (“RSFN”) por meio de Provedores de Serviços de Tecnologia da Informação (“PSTI”), estabelecendo limite máximo de R$ 15 mil por operação, salvo se: (a) o participante acessar a RSFN por meio de um PSTI credenciado pelo BCB; (b) apresentar relatório de auditoria independente que ateste a adoção de controles robustos de segurança da informação, incluindo integridade das transações, uso de certificados distintos para ambientes de produção e homologação, e segregação de chaves privadas.

Também ficou estabelecido que participantes que comprovarem a adoção de controles de segurança da informação poderão solicitar a dispensa da limitação por até 90 dias, sendo essa solicitação sujeita à aprovação formal do BCB.

Posteriormente, a RBCB 503 introduziu novas alterações, prevendo, para fins de transição, hipóteses em que o limite não se aplica quando a transação tiver como destinatária a Secretaria do Tesouro Nacional ou se destinar ao pagamento da Guia do FGTS Digital (GFD).

Por fim, a RBCB 501 determina que as instituições rejeitem transações destinadas a contas com fundada suspeita de envolvimento em fraude, abrangendo operações como Pix, TED e transferências internas. A avaliação ficará a critério das instituições, que poderão utilizar informações de bases públicas ou privadas. Além disso, a instituição destinatária dos recursos deverá notificar o titular da conta quando a medida for aplicada. O prazo para implementação das novas regras é 13 de outubro de 2025.

Este alerta não representa opinião legal, tendo o propósito puramente informativo.

Em caso de dúvidas ou auxílio necessário, por favor, entre em contato com o Time Compliasset através do e-mail alertas@compliasset.com.

Atenciosamente,
​Time Compliasset.