EUA aceleram regras de cibersegurança financeira

O Tesouro dos Estados Unidos criou uma Quantum-Readiness Task Force para coordenar a transição do setor financeiro para a criptografia pós-quântica. Ao mesmo tempo, a Fed, a FDIC e a OCC fecharam um novo protocolo para o tratamento de informações supervisoras altamente sensíveis e definiram notificação em até 72 horas quando houver comprometimentos materiais. Em paralelo, FinCEN e outros reguladores bancários propuseram regras de Customer Identification Program para emissores de stablecoins sob o GENIUS Act, e a SEC reforçou sua agenda de enforcement com uma unidade focada em cibersegurança e tecnologias emergentes.

¿Qué busca la Task Force del Tesoro?

A Quantum-Readiness Task Force é voltada para bancos, operadores de infraestrutura de mercado e fornecedores tecnológicos que atuam no sistema financeiro dos Estados Unidos ou com ele. O objetivo é coordenar a migração para criptografia pós-quântica e reduzir riscos sobre dados financeiros sensíveis. Segundo a análise da Nextgov, o trabalho está organizado em três frentes: migração do setor para criptografia pós-quântica, avaliação da prontidão de terceiros críticos e análise dos riscos associados a ativos digitais e tecnologias emergentes.

Outra cobertura relacionou essa rota a um documento do G7 que sugere 2035 como horizonte geral para concluir a transição no sistema financeiro internacional, embora o prazo seja apenas indicativo e não vinculante. A Federal News Network acrescentou que a iniciativa se alinha a uma ordem executiva federal que exige a migração de ativos de alto valor e sistemas de alto impacto para chaves pós-quânticas até 31 de dezembro de 2030, e a implementação de assinaturas digitais pós-quânticas até 31 de dezembro de 2031.

O foco prático da Task Force inclui ampliar a agilidade criptográfica, isto é, inventariar o uso de criptografia, identificar os sistemas e dados mais sensíveis, desenvolver planos de migração e testar tecnologias resistentes à computação quântica. A Mallory.ai também observou que a iniciativa busca reduzir riscos decorrentes de ameaças quânticas sobre informações financeiras sensíveis.

¿Qué cambió para los exámenes bancarios?

A Fed, a FDIC e a OCC emitiram em 16 de julho de 2026 uma declaração conjunta e um comunicado oficial sobre uma abordagem coordenada para informações altamente sensíveis durante exames de bancos supervisionados. O compromisso é notificar os bancos afetados sobre comprometimentos materiais de informações supervisoras confidenciais assim que possível e, em geral, no máximo 72 horas após a descoberta. A Debevoise & Plimpton esclareceu que a obrigação diferencia falhas menores de comprometimentos materiais.

¿Cómo avanza la propuesta sobre stablecoins?

FinCEN e outros reguladores propuseram tratar os Permitted Payment Stablecoin Issuers como instituições financeiras para efeitos do Bank Secrecy Act, o que exigiria um programa AML/CFT com o Customer Identification Program integrado. A VitalLaw detalhou que o modelo exigiria identificar clientes na medida do razoável e praticável, com base em risco, além de reunir nome, data de nascimento, endereço e identificação para pessoas físicas, e a data de constituição para pessoas jurídicas.

A proposta também prevê verificar a identidade em prazo razoável, estabelecer procedimentos para encerrar ou não abrir contas quando não for possível validar o cliente e considerar o envio de um Suspicious Activity Report. Além disso, os emissores deveriam ter procedimentos razoáveis para checar se um cliente aparece em listas de terroristas ou organizações terroristas emitidas por agências federais e designadas pelo Tesouro. O BPI e a The Clearing House Association enviaram comentários sobre a proposta, enquanto o Crypto Council for Innovation defendeu que o CIP deveria se limitar à relação com o cliente primário do emissor e não se estender a usuários secundários em mercados secundários.

¿Qué está pasando con la supervisión de modelos e IA?

Em 17 de abril de 2026, a OCC, o Federal Reserve e a FDIC divulgaram uma diretriz interagências revisada de gestão de risco de modelos, identificada como OCC Bulletin 2026-13, que substitui o marco interagências de 2011, revoga a orientação OCC 2011-12 e também a carta SR 11-7. A nova publicação, citada em outros materiais como SR 26-2 e FIL-15-2026, integra referências explícitas a modelos quantitativos e de machine learning, mas exclui temporariamente a IA generativa e agentic, que ficam sob os programas gerais de gestão de riscos de cada instituição.

A Diligent observou que o marco é orientado por princípios e que a falta de cumprimento formal, por si só, não deveria gerar críticas de supervisão, embora possa influenciar a avaliação geral do perfil de risco dos modelos. A empresa também indicou que as agências esperam que a diretriz seja especialmente relevante para organizações bancárias com mais de 30 bilhões de dólares em ativos totais, ou para entidades menores com exposição importante a modelos. A BankingNewsAI acrescentou que o Fed pretende publicar uma solicitação interagências de informações sobre IA e risco de modelos, com foco em machine learning e casos de uso de alto impacto.

¿Qué otras presiones regulatorias siguen vigentes?

A FTC mantém vigente o marco de proteção de dados do Gramm-Leach-Bliley Act, que obriga as instituições financeiras a explicar aos consumidores suas práticas de compartilhamento de informações e a proteger dados sensíveis. Seus materiais sobre a Safeguards Rule também exigem um programa abrangente de segurança da informação, com salvaguardas administrativas, técnicas e físicas, avaliação de riscos, criptografia e supervisão de fornecedores que tratam informações de clientes.

No campo de supervisão e enforcement, a SEC registrou 456 ações no ano fiscal de 2025 e recuperou aproximadamente 17,9 bilhões de dólares, segundo a SaltyCloud. A agência também lançou uma Cyber and Emerging Technologies Unit focada em AI-washing, hacking interno e fraude em divulgações de cibersegurança. A Global Finance Magazine alertou ainda que a proteção de responsabilidade limitada do Cybersecurity Information Sharing Act de 2015 vence em 30 de setembro de 2026 se não for renovada, o que pode expor as empresas que compartilham informações de cibersegurança nos Estados Unidos a mais escrutínio e sanções.

Em paralelo, a Crypto.news lembrou que o arcabouço regulatório cripto nos Estados Unidos envolve FinCEN, OCC, Federal Reserve, FDIC, OFAC e IRS, com obrigações de registro, sanções, cibersegurança e monitoramento de transações para instituições que operam no sistema financeiro americano.