Resolução BCB 498: o seguro que o PSTI precisa comprovar

Em 5 de setembro de 2025, o Banco Central publicou a Resolução BCB nº 498, que estabelece requisitos, procedimentos e condições para o credenciamento dos prestadores de serviços de tecnologia da informação (PSTI) que prestam serviços de processamento de dados para acesso à Rede do Sistema Financeiro Nacional (RSFN).

Para o mercado de tecnologia, a mudança é de natureza: prestar serviço crítico ao sistema financeiro deixou de ser uma relação puramente contratual entre fornecedor e instituição e passou a ter requisitos de entrada definidos pelo regulador. Entre eles — ao lado de capacidade técnica, governança e capital social mínimo — está a comprovação de contratação de seguro.

Este artigo trata especificamente dessa camada. Não é um guia de conformidade regulatória: é a tradução do requisito de seguro em apólice, escrita por quem trabalha com essas coberturas.

Este texto tem caráter informativo e não substitui a leitura do texto oficial da norma nem a orientação jurídica. Os parâmetros definidos pelo Banco Central podem ser atualizados.

O que a norma pede em seguro

O requisito, na sua formulação central, é a comprovação de contratação de seguro de responsabilidade civil e de riscos operacionais, com cobertura mínima definida pelo Banco Central do Brasil, contemplando incidentes de fraude e de segurança cibernética.

Três palavras nessa frase fazem todo o trabalho, e vale separá-las:

• Responsabilidade civil — a exposição perante terceiros. Em uma empresa de tecnologia, isso raramente é dano físico: é o prejuízo que o cliente sofre quando o serviço prestado falha.
• Riscos operacionais — as perdas decorrentes de falhas de processos internos, pessoas e sistemas. É um conceito de gestão de risco financeiro, mais amplo que o de qualquer apólice isolada.
• Fraude e incidentes cibernéticos — mencionados explicitamente, o que impede tratar o requisito como um seguro genérico de responsabilidade.

O problema prático: não existe “a apólice da 498”

Quem procura no mercado um produto com esse nome não encontra, e é aí que a maioria das empresas perde tempo. A norma descreve coberturas que precisam existir, não um produto. Montar a resposta exige combinar apólices, e a combinação depende do que a empresa efetivamente faz.

Na prática, o conjunto costuma se distribuir assim:

Nenhuma dessas linhas cobre sozinha o que a norma descreve, e várias se sobrepõem parcialmente. O trabalho de estruturação está justamente em evitar que sobre buraco entre elas — o ponto em que uma apólice termina e a outra ainda não começou é onde os sinistros ficam sem resposta.

O erro mais comum: confundir capital social com limite de seguro

A resolução estabelece capital social mínimo para o PSTI — a referência que circulou no mercado é de R$ 15 milhões, ajustável conforme perfil de risco e volume de operações — e, separadamente, exige o seguro.

São requisitos cumulativos e de naturezas diferentes. Capital social é solidez patrimonial da empresa: dinheiro próprio comprometido no negócio. Seguro é transferência de risco a um terceiro. Ter um não dispensa o outro, e o limite de indenização da apólice não guarda relação automática com o valor do capital.

Vimos essa confusão aparecer o suficiente para valer o alerta: a empresa capitaliza para atender ao requisito financeiro e assume que “está coberta”, quando o requisito de seguro segue aberto — e vice-versa.

Fraude interna: a cobertura que costuma faltar

Das quatro frentes, a que mais frequentemente falta nas estruturas que analisamos é a de fraude, sobretudo a interna.

A intuição de muita empresa de tecnologia é que “fraude” significa ataque externo — e para isso ela já tem a apólice cyber. Mas a fraude praticada por quem tem acesso legítimo ao sistema, o desvio interno, a manipulação de transações por colaborador, costuma ser objeto de cobertura de crime ou fidelidade de empregados, uma linha distinta que apólices cyber padrão não contemplam integralmente.

Como a norma menciona fraude ao lado de segurança cibernética, tratar as duas como sinônimos é um caminho previsível para uma comprovação incompleta.

Comprovação é contínua, não um evento

O PSTI deve demonstrar periodicamente ao Banco Central, na forma e na data por ele estipuladas, que os requisitos do credenciamento permanecem atendidos. O seguro entra nesse pacote.

A consequência operacional é simples e costuma ser subestimada: a apólice precisa estar vigente e aderente na data de cada comprovação. Uma renovação que atrasa, um limite que ficou defasado em relação ao que o regulador estipular, uma cobertura que a seguradora restringiu na renovação — qualquer um desses pontos vira problema de conformidade, não só de seguro.

Na prática, isso significa colocar a data de renovação no mesmo calendário em que estão os prazos regulatórios, e revisar limites sempre que o volume de operações mudar de patamar.

O que ter em mãos para cotar

Riscos de tecnologia com limites relevantes passam por subscrição detalhada. Adiantar estas informações encurta bastante o processo:

• Faturamento anual e descrição precisa dos serviços prestados;
• Perfil dos clientes e volume processado;
• Escopo do credenciamento pretendido e sistemas envolvidos;
• Estrutura de governança — quem responde por segurança cibernética, continuidade e compliance, que a própria norma exige formalizar;
• Políticas de desenvolvimento, testes, gestão de mudanças e resposta a incidentes;
• Plano de continuidade de negócios e resultados de testes recentes;
• Histórico de sinistros e incidentes dos últimos anos;
• Modelos de contrato com clientes, especialmente as cláusulas de limitação de responsabilidade.

Por onde começar

Se a sua empresa é ou pretende ser PSTI, o caminho que costuma funcionar é este:

1. Mapear o que já existe. Boa parte das empresas já tem alguma apólice — em geral cyber. O primeiro passo é ler o que ela cobre de fato contra o que a norma descreve.
2. Identificar as lacunas, com atenção especial a E&O e fraude, as duas que mais faltam.
3. Estruturar o conjunto com limites compatíveis com o que o Banco Central estipular e com o volume de operações.
4. Colocar a renovação no calendário regulatório, porque a comprovação é periódica.

O prazo de subscrição é o fator que mais surpreende quem deixa para depois: não é uma cotação de minutos. Quem tem data para cumprir se beneficia de começar cedo.

Se quiser conversar sobre o desenho, a NeuCorr atua em responsabilidade civil profissional e riscos corporativos — fale com um especialista e a cotação sai sem compromisso.