OCC atualiza guia de cibersegurança bancária

A Oficina do Controlador da Moeda, OCC, atualizou a estrutura e as referências do seu Cybersecurity Supervision Work Program, o programa usado por seus examinadores para avaliar a cibersegurança de bancos nacionais e associações federais de poupança. O regulador esclareceu que a mudança não cria novas expectativas regulatórias e que as instituições não são obrigadas a usar o material para revisar sua própria prontidão.

O que mudou no programa?

A atualização reorganiza o conteúdo para manter o alinhamento com as categorias e subcategorias atualizadas do NIST Cybersecurity Framework. Segundo a OCC, o objetivo foi ajustar a estrutura e as referências usadas pelos examinadores, sem acrescentar novos procedimentos de inspeção nem alterar o alcance da supervisão.

O CU Daily informou ainda que esta versão substitui o boletim OCC 2023-22. A VitalLaw, por sua vez, apontou que o alinhamento é com o NIST CSF 2.0 e que o boletim anterior de 2023 foi rescindido. A Paul Hastings descreveu o programa como uma ferramenta de exame de alto nível, ainda alinhada ao NIST, mas sem transformar esse referencial em uma avaliação obrigatória para os bancos.

O que isso implica para os bancos supervisionados?

A OCC deixou explícito que o programa segue sendo uma guia interna para examinar bancos nacionais e associações federais de poupança. Na prática, a atualização organiza referências e categorias para o trabalho de supervisão, mas não impõe novo requisito de conformidade nem prazo de adaptação para as instituições.

A cobertura independente concordou que não houve adição nem mudança nos procedimentos de exame. A atualização busca refletir o marco NIST atualizado dentro da supervisão, enquanto a decisão de cada banco de usar esse referencial para avaliar sua própria maturidade em cibersegurança continua sem ser obrigatória.