II – prever os controles e as tecnologias adotados pela instituição para reduzir a sua vulnerabilidade a incidentes e atender aos demais objetivos de segurança cibernética estipulados;

II – prever os controles, preventivos e reativos, bem como as tecnologias adotadas pela instituição para reduzir a sua vulnerabilidade a incidentes e atender aos demais objetivos de segurança cibernética estipulados;

IV – prever o registro, a análise da causa e do impacto, bem como o controle dos efeitos de incidentes relevantes para as atividades da instituição;

IV – prever o registro, a análise da causa e do impacto, bem como o controle dos efeitos de incidentes relevantes para as atividades da instituição e para os titulares dos dados;

V – estabelecer diretrizes para:

b) a definição de procedimentos e de controles voltados à prevenção e ao tratamento dos incidentes a serem adotados por empresas prestadoras de serviços a terceiros que manuseiem dados ou informações sensíveis ou que sejam relevantes para a condução das atividades operacionais da instituição;

c) a classificação dos dados e das informações quanto à relevância, sob responsabilidade da instituição; e

V – estabelecer diretrizes para:

b) procedimentos e controles voltados à prevenção e ao tratamento dos incidentes a serem adotados pelas instituições financeiras e por empresas prestadoras de serviços a terceiros que manuseiem dados ou informações sensíveis ou que sejam relevantes para a condução das atividades operacionais da instituição;

c) a classificação dos dados e das informações, observadas as classificações definidas na legislação aplicável no tocante à dados pessoais, quanto à relevância, sob responsabilidade da instituição; e

No item “c” incluímos a necessidade de observar as classificações que irão surgir com as legislações sobre dados pessoais, tais como a diferença entre dados pessoais simples e dados pessoais sensíveis. Estes recebem definição distinta da normalmente empregada pela melhor doutrina de Segurança da Informação e por esta própria Minuta, que classifica dados sensíveis não por sua eventual natureza discriminatória, mas sim com relação ao grau de importância do dado para a instituição. São classificações e conceitos distintos impostos pela legislação que devem ser levadas em consideração. A adição desse texto cria o dever de observar essas normativas e atualizar as Políticas de Segurança conforme surgirem.

VII – prever as iniciativas para compartilhamento de informações com as demais instituições sobre os incidentes relevantes mencionados no inciso IV.

VII – prever as iniciativas para compartilhamento de informações com as demais instituições sobre os incidentes relevantes mencionados no inciso IV, respeitando o dever de sigilo e a livre concorrência.

§ 1º Os objetivos de segurança cibernética referidos no inciso I devem contemplar a capacidade de prevenir, detectar e reduzir a vulnerabilidade a incidentes relacionados com o ambiente cibernético.

§ 1º Os objetivos de segurança cibernética referidos no inciso I devem contemplar a capacidade de prevenir, detectar e reduzir a vulnerabilidade a incidentes relacionados com o ambiente cibernético e remediar os seus impactos perante os afetados pelo incidente.

(…)

V – estabelecer diretrizes para:

(…)

b) a definição de procedimentos e de controles voltados à prevenção e ao tratamento dos incidentes a serem adotados por empresas prestadoras de serviços a terceiros que manuseiem dados ou informações sensíveis ou que sejam relevantes para a condução das atividades operacionais da instituição;

(…)

§ 5º As diretrizes de que trata o inciso V, alínea “b”, devem contemplar procedimentos e controles em níveis de complexidade, abrangência e acurácia semelhantes aos utilizados pela própria instituição.

(…)

V – estabelecer diretrizes para:

(…)

b) procedimentos e controles voltados à prevenção e ao tratamento, que devem contemplar os mesmo níveis de complexidade, abrangência e precisão a serem adotados pelas instituições financeiras e por empresas prestadoras de serviços a terceiros que manuseiem dados ou informações sensíveis ou que sejam relevantes para a condução das atividades operacionais da instituição;

§ 6º A política de segurança cibernética deve ser divulgada por meio de linguagem compatível com a complexidade das funções desempenhadas:

III – aos demais interessados, quando for o caso.

§ 6º A política de segurança cibernética deve ser divulgada por meio de linguagem clara, acessível e compatível com a complexidade das funções desempenhadas:

III – aos demais interessados, quando for o caso, incluindo os titulares dos dados, por meio de um resumo em linguagem acessível em caso de incidente relevante.

Parágrafo único. O plano mencionado no caput deve definir, no mínimo:

II – as rotinas, os procedimentos, os controles e as tecnologias a serem utilizados na prevenção e na resposta a incidentes, segundo cronograma especificado pela instituição, em conformidade com as diretrizes da política de segurança cibernética; e

Parágrafo único. O plano mencionado no caput deve definir, no mínimo:

II – as empresas prestadoras de serviço e os terceiros a elas relacionados, as rotinas, os procedimentos, os controles e as tecnologias a serem utilizados na prevenção e na resposta a incidentes, segundo cronograma especificado pela instituição, em conformidade com as diretrizes da política de segurança cibernética; e

Parágrafo único. O plano mencionado no caput deve definir, no mínimo:

Parágrafo único. O plano mencionado no caput deve definir, no mínimo:

IV – procedimento de notificação aos titulares dos dados afetados pelos incidentes.

V – procedimento de notificação ao Banco Central sobre incidente relevante que possa afetar demais participantes do mercado.

No entanto, no Art. 4 temos um termo que causa bastante insegurança jurídica: “incidentes relevantes”. O que poderia ser considerado um incidente relevante para o cumprimento da obrigação no inciso III da Minuta e dos incisos sugeridos aqui não fica claro. Necessário conceituar adequadamente o referido termo, que é utilizado nesse artigo e em outros momentos no texto da Minuta.

Parágrafo único. O diretor mencionado no caput pode desempenhar outras funções na instituição, desde que não haja conflito de interesses.

Parágrafo único. O responsável mencionado no caput pode desempenhar outras funções na instituição, desde que não haja conflito de interesses.

Além disso, a possibilidade de designar um responsável, e não um diretor, oferece maiores opções às instituições, que poderiam, inclusive, contratar responsável especializado no assunto, conferindo melhores resultados, ou até mesmo terceirizar tal função para empresa especializada ou um departamento como um todo.

III – os resultados dos testes de continuidade de negócios, considerando cenários de indisponibilidade ocasionada por incidentes.

III – os resultados dos testes de continuidade de negócios, considerando cenários de indisponibilidade ocasionada por incidentes, acompanhados do prazo estimado para reinício ou normalização das suas atividades ou dos serviços relevantes interrompidos.

IV – assegurar a qualidade dos controles de acesso adotados pela empresa contratada, voltados à proteção dos dados e das informações dos clientes da instituição contratante; e

IV – assegurar a qualidade dos controles de acesso adotados pela empresa contratada, voltados à proteção dos dados e das informações dos clientes da instituição contratante de acordo com o nível de classificação dos dados definidos pela instituição em sua política de segurança cibernética; e

§ 1º Para os fins do disposto nesta Resolução, os serviços de computação em nuvem abrangem a disponibilidade, à instituição contratante, sob demanda e de maneira virtual, de ao menos um dos seguintes serviços:

§ 1º Para os fins do disposto nesta Resolução, os serviços de computação em nuvem abrangem a disponibilidade, à instituição contratante, sob demanda e de maneira remota, de ao menos um dos seguintes serviços:

Parágrafo único: é dever da instituição informar as empresas contratadas e terceirizadas, de forma expressa e simples, nos contratos, indicando que estas também estão subordinadas a presente Resolução.

Caso não seja este o entendimento do Banco Central, propomos a seguinte alteração:

Art. 11. É vedada a contratação de serviços relevantes de computação em nuvem prestados no exterior sem garantias que os dados não serão acessados por terceiros não autorizados no território onde o serviço é prestado.

A título de argumentação, vale lembrar que o PL 2.621/2011, que depois se tornou a Lei 12.965/2014, comumente conhecida como Marco Civil da Internet, previa, na redação originária do artigo 12, que o Poder Executivo, por meio de decreto, poderia obrigar os provedores de aplicação a instalarem ou utilizarem bancos de dados em território nacional. A razão dessa proposição era assegurar a soberania e jurisdição brasileira sobre os dados aqui coletados. No entanto, essa proposta foi retirada pela sua inadequação ao mercado e a própria arquitetura da Internet, que deve ser aberta, neutra, e não fragmentada. Dessa maneira, o presente artigo acaba por incidir no mesmo equívoco descrito.

Como já descrito anteriormente no ponto 10, outro problema identificado neste e em diversos trechos na Minuta é a utilização do termo serviços relevantes presentes nos artigos 11, 14 -I, II e III, 18 – III e 19. A imprecisão do termo pode ocasionar em insegurança jurídica por parte dos operadores, de forma que seria adequado definir na Minuta o que pode ser considerado serviço relevante no contexto do mercado financeiro.

I – a indicação do local das instalações onde os serviços serão prestados e os dados serão armazenados, processados e gerenciados;

A indicação do local onde os dados estarão armazenados também não parece adequada, pois compromete a sua segurança, tendo em vista que sua localização é facilitada.

IV – a possibilidade, em caso de substituição da empresa contratada, de:

a) transferência dos dados citados no inciso I ao novo prestador de serviços; e

b) exclusão dos dados citados no inciso I pela empresa contratada substituída, após a confirmação de recebimento dos dados pelo novo contratado;

IV – a possibilidade, em caso de substituição da empresa contratada, de:

a) transferência dos dados ao novo prestador de serviços de acordo com os padrões do mercado de interoperabilidade; e

b) exclusão dos dados e dos metadados pela empresa contratada substituída, após a confirmação de recebimento dos dados pelo novo contratado;

É importante também estabelecer a necessidade de observância dos padrões de interoperabilidade para facilitar o processo de transição de prestação de serviços em nuvem pelas empresas.

Além disso, é necessário obrigar não só a exclusão dos dados, mas também dos seus metadados. Tal prática confere maior segurança a esse procedimento, tendo em vista que esses podem ser aproveitados de diversas formas sem o consentimento da empresa contratante, até mesmo para fins comerciais, por exemplo, no mercado de “Market data”.

VIII – a manutenção, no País, das cópias de segurança dos dados e das informações armazenados pela empresa contratada, bem como das informações sobre os seus processamentos;

Caso o artigo seja mantido, propomos a seguinte redação:

Art. 12. Os contratos para prestação de serviços de processamento, armazenamento de dados e computação em nuvem devem prever:

VIII – a manutenção, no País, das cópias de segurança dos dados e das informações armazenados pela empresa contratada, bem como das informações sobre os seus processamentos, que devem ser disponibilizados ao Banco Central;

Devem aqui ser levados em consideração os mesmo argumentos apresentados para a exclusão do art. 11 (ver referência acima).

O dever de disponibilização desses contratos ao Banco Central confere maior enforcement à aplicação da norma.

X – a possibilidade da adoção de medidas pela instituição contratante, em decorrência de determinação do Banco Central do Brasil.

X – a possibilidade da adoção de medidas adicionais pela instituição contratante, em decorrência de determinação do Banco Central do Brasil, que deve conferir prazo razoável pra implementação de tal medida.

§ 2º O contrato mencionado no caput deve prever, para o caso da decretação de regime de resolução da instituição contratante pelo Banco Central do Brasil:

I – a obrigação de a empresa contratada conceder pleno e irrestrito acesso do responsável pelo regime de resolução aos contratos, aos acordos, à documentação e às informações mencionadas no inciso VII, bem como às cópias dos dados e das informações citados no inciso VIII, inclusive às chaves de criptografia e aos sistemas necessários ao seu processamento; e

§ 2º O contrato mencionado no caput deve prever, para o caso da decretação de regime de resolução da instituição contratante pelo Banco Central do Brasil:

I – a obrigação de a empresa contratada conceder pleno e irrestrito acesso do responsável pelo regime de resolução aos contratos, aos acordos, à documentação e às informações mencionadas no inciso VII, bem como às cópias dos dados e das informações citados no inciso VIII, inclusive às chaves de criptografia e aos sistemas necessários ao seu processamento, respeitados os direitos de proteção de dados pessoais em legislação vigente; e

§ 2º O contrato mencionado no caput deve prever, para o caso da decretação de regime de resolução da instituição contratante pelo Banco Central do Brasil:

II – a obrigação de notificação prévia do responsável pelo regime de resolução sobre a intenção da empresa contratada de interromper a prestação de serviços, com pelo menos trinta dias de antecedência da data prevista para a interrupção, observado que:

§ 2º O contrato mencionado no caput deve prever, para o caso da decretação de regime de resolução da instituição contratante pelo Banco Central do Brasil:

II – a obrigação do responsável pelo regime de resolução de notificar previamente a empresa contratada sobre a intenção de interromper a prestação de serviços, com pelo menos trinta dias de antecedência da data prevista para a interrupção, observado que:

III – a comunicação tempestiva ao Banco Central do Brasil das ocorrências de incidentes relevantes e das interrupções dos serviços relevantes, citados no inciso I, que gerem decretação de situação de crise pela instituição financeira, bem como as providências para o reinício das suas atividades.

III – a comunicação ao Banco Central do Brasil das ocorrências de incidentes relevantes e das interrupções dos serviços relevantes, citados no inciso I, no prazo de 24 horas contadas a partir da ciência da instituição sobre o incidente, que gerem decretação de situação de crise pela instituição financeira, bem como as providências para o reinício das suas atividades.

Além disso, reforçamos a necessidade de conceituar os termos “incidente relevantes” e “serviço relevante” para conferir maior segurança jurídica ao texto da Minuta.

V – os dados, os registros e as informações relativas aos mecanismos de acompanhamento e de controle de que trata o art. 15.

V – os dados, os registros e as informações relativas aos mecanismos de acompanhamento e de controle de que trata o art. 15, contados a partir de sua implementação.

II – a exigência de certificações e outros requisitos técnicos a serem requeridos das empresas contratadas, pela instituição financeira contratante, na prestação dos serviços de que trata o art. 9º;

II – a exigência de certificações e outros requisitos técnicos, de acordo com padrões internacionais e de mercado, a serem requeridos das empresas contratadas, pela instituição financeira contratante, na prestação dos serviços de que trata o art. 9º, dentro de prazos razoáveis;

IV – os requisitos técnicos e procedimentos operacionais a serem observados pelas instituições para o cumprimento desta Resolução.

IV – os requisitos técnicos e procedimentos operacionais, compatíveis com os padrões nacionais e internacionais de mercado, a serem observados pelas instituições para o cumprimento desta Resolução.