FFIEC e NYDFS apertam regras de cibersegurança

As agências integrantes do FFIEC, em conjunto com o NYDFS, estão pressionando bancos e agências estrangeiras nos Estados Unidos a adotar um regime de conformidade mais rígido. O foco recai sobre NIST CSF 2.0, controles técnicos verificáveis, gestão de terceiros e prazos mais claros para reporte de incidentes. A mudança também alcança filiais e agências de bancos da Argentina e do México que operam em território americano.

¿Qué cambió en la supervisión del FFIEC?

O FFIEC não regula diretamente as instituições, mas seus órgãos membros, como OCC, FDIC, Federal Reserve, NCUA, CFPB e supervisores estaduais, usam seus manuais, o IT Handbook e as classificações URSIT para examinar cibersegurança e tecnologia em entidades financeiras. Além disso, o FFIEC retirou sua Cybersecurity Assessment Tool em 31 de agosto de 2025 e orientou as instituições a usar o NIST Cybersecurity Framework 2.0 como referência principal.

Essa transição tem efeito prático. O NIST publicou a orientação SP 1347, Cybersecurity Framework 2.0: Informative References Quick-Start Guide, para relacionar controles concretos, como NIST SP 800-53, ISO 27001 ou CIS Controls, às funções e categorias do CSF 2.0. Na prática, isso facilita transformar o marco em listas de controles verificáveis perante as agências do FFIEC ou diante do NYDFS.

¿Qué exige Nueva York a las entidades financieras?

A regra NYDFS Part 500 exige um programa escrito de cibersegurança, avaliações de risco, controles técnicos como autenticação multifator e criptografia, designação de um Chief Information Security Officer, treinamento de conscientização e testes anuais de invasão e vulnerabilidades. Ela também se aplica a qualquer entidade com licença bancária ou de serviços financeiros em Nova York, incluindo organizações bancárias estrangeiras com agência ou filial no estado.

A referência técnica que se consolida para essa evidência é o NIST CSF 2.0. Segundo análises de conformidade citadas pela NHIMG, o regulador de Nova York espera documentação mapeada de forma explícita às categorias do framework, como GV.OV, de governança. Isso obriga a organizar políticas, registros de risco, testes e métricas nessa linguagem para facilitar inspeções.

¿Cómo impacta en incidentes y terceros?

As regras de notificação também apertam os prazos. Pela Computer-Security Incident Notification Rule, uma organização bancária deve avisar seu regulador federal primário o quanto antes e, no máximo, 36 horas depois de determinar que ocorreu um notification incident. Para fornecedores de serviços bancários, a obrigação é notificar as entidades afetadas assim que possível se certos incidentes causarem, ou tiverem probabilidade razoável de causar, interrupção ou degradação material do serviço por quatro horas ou mais.

Após um evento significativo, as instituições financeiras nos Estados Unidos precisam cumprir as obrigações federais e estaduais de reporte aplicáveis, incluindo notificações de incidentes de segurança cibernética e, quando cabível, relatórios de atividades suspeitas e outras exigências setoriais. No mesmo eixo, a gestão de terceiros passou a integrar de forma explícita exames de sistemas de pagamento, risco operacional e BSA/AML, nos quais os examinadores pedem evidências de governança, avaliações de risco e alinhamento com o NIST CSF 2.0 para fornecedores críticos.

Isso inclui processadores de pagamento, core banking e monitoramento AML. Para filiais de bancos argentinos e mexicanos, o efeito prático é aplicar critérios de due diligence e monitoramento tanto a fornecedores locais quanto globais que sustentam operações nos Estados Unidos.

¿Qué rol tomó el Tesoro estadounidense?

O Departamento do Tesouro, por meio da Office of Cybersecurity and Critical Infrastructure Protection, coordena a estratégia para reforçar a segurança e a resiliência da infraestrutura crítica do setor financeiro e reduzir o risco operacional. Segundo a própria pasta, ela atua como ponto focal para políticas setoriais, exercícios de resiliência e coordenação público-privada que alcançam bancos domésticos e grupos bancários estrangeiros com presença no país.

Em paralelo, guias setoriais de conformidade posicionam NIST CSF 2.0, NIST SP 800-53 Rev. 5 e NIST SP 800-63 como o conjunto técnico de referência para controles de segurança e gestão de identidades. A isso se somam marcos como ISO/IEC 27001:2022 e PCI DSS v4.0, que adicionam obrigações regulatórias e contratuais. Para bancos latino-americanos com operações nos Estados Unidos, isso costuma exigir a convivência de vários marcos no modelo de controle e de reporting.