PIX muda regra antiga e passa a ter novo limite; descubra novidades

Após o ataque hacker atingir uma instituição financeira, ligada ao fornecimento de tecnologia entre bancos e o PIX, do Banco Central (BC) e desviar R$ 710 milhões, no dia 29 de agosto, o Banco Central impôs novas regras para reforçar a segurança, entre elas, a volta do limite de pagamentos com o sistema de pagamento instantâneo.

O ataque cibernético direcionado à Sinqia impactou os bancos HSBC, com aproximadamente R$ 670 milhões desviados, e a fintech Artta, com R$ 41 milhões. Apesar da gravidade, a Sinqia garante que “a infraestrutura central do PIX não foi comprometida e segue operando normalmente”. A invasão atingiu apenas os servidores da empresa que se conectam ao BC.

Apesar de não ter afetado as estruturas centrais do PIX, o BC decidiu endurecer as regras para as novas instituições.

Veja as novas regras:

Limite em TED e PIX

Para instituições de pagamento não autorizadas e as que se conectam à Rede do Sistema Financeiro Nacional via Prestadores de Serviços de Tecnologia da Informação (PSTI) fica limitado em R$ 15 mil o valor de TED e Pix.

A limitação poderá ser removida quando o participante e seu respectivo PSTI atenderem aos novos processos de controle de segurança. Transitoriamente, os participantes que atestarem a adoção de controles de segurança da informação poderão ser dispensados da limitação por até 90 dias. A medida entra em vigor imediatamente.

Autorização prévia de operação

​Nenhuma instituição de pagamento poderá começar a operar sem prévia autorização. Além disso, o prazo final para que instituições de pagamento não autorizadas a funcionar pelo BC solicitem autorização para funcionamento é antecipado de dezembro de 2029 para maio do ano que vem.

Novos controles às instituição

Somente integrantes dos segmentos S1, S2, S3 ou S4 que não sejam cooperativas poderão atuar como responsáveis no Pix por instituições de pagamento não autorizadas. Os contratos vigentes deverão ser adequados em até cento e oitenta dias.

O BC poderá requerer certificação técnica ou avaliação emitida por empresa qualificada independente que ateste o cumprimento dos requisitos autorizativos. A instituição de pagamento que já estiver prestando serviços e tenha seu pedido de autorização indeferido deverá encerrar suas atividades em até 30 dias. A vigência da medida é imediata.

Aumenta os requisitos e controles para o credenciamento dos PSTI

Os requerimentos de governança e de gestão de riscos foram ampliados. Passa-se a exigir capital mínimo de R$15 milhões. O descumprimento estará sujeito à aplicação de medidas cautelares ou até ao descredenciamento. A norma entra em vigor imediatamente e os PSTI em atividade têm até quatro meses para se adequarem.