EUA mantêm prazo de 36 horas para incidentes

Atualização 3 de novembro de 2026: a nota inclui que algumas instituições financeiras também precisam exigir que seus fornecedores informem violações de dados em até 72 horas, sob dispositivos da Regulation S-P. Além disso, essas regras preveem aviso às pessoas afetadas assim que for praticável e, no máximo, em 30 dias, com exceções limitadas.

As regras federais dos Estados Unidos obrigam determinadas organizações bancárias a comunicar incidentes de segurança informática ao regulador o mais rápido possível e, no máximo, em 36 horas após determinar que ocorreu um incidente notificável. A exigência também alcança provedores de serviços bancários quando uma interrupção ou degradação material de serviços cobertos dura quatro horas ou mais, segundo o Electronic Code of Federal Regulations.

A quem se aplica a notificação de incidentes?

A norma cobre bank holding companies, bancos membros estaduais, entidades Edge e agreement, além das operações nos Estados Unidos de organizações bancárias estrangeiras sob jurisdição do Federal Reserve. Em paralelo, a regulação da OCC se aplica a bancos nacionais, associações federais de poupança e filiais e agências federais de bancos estrangeiros.

No caso do regime do Federal Reserve, a obrigação de aviso está em 12 CFR Part 225 Subpart N, enquanto a OCC a regula em 12 CFR Part 53. Em ambos os casos, a notificação deve ser enviada o mais rápido possível e, no limite, em até 36 horas após a determinação de que houve um incidente notificável.

O que devem fazer os provedores de serviços bancários?

Os provedores de serviços bancários devem avisar cada organização bancária afetada quando determinarem que um incidente interrompeu ou degradou materialmente, ou provavelmente interromperá ou degradará materialmente, serviços cobertos por quatro horas ou mais. Essa obrigação é separada da notificação principal ao regulador.

Além disso, segundo as disposições de Regulation S-P descritas pela Skadden, determinadas instituições financeiras devem manter procedimentos para que seus fornecedores informem violações de dados em até 72 horas. Nesse mesmo esquema, as instituições devem notificar as pessoas afetadas assim que for praticável e, no máximo, em 30 dias após tomar conhecimento da violação, sujeito a exceções limitadas.

O que exigem as diretrizes interinstitucionais de segurança?

As diretrizes interinstitucionais de segurança da informação dos Estados Unidos estabelecem padrões administrativos, técnicos e físicos para proteger a segurança, a confidencialidade e a integridade das informações de clientes. Essas orientações foram emitidas sob o Gramm-Leach-Bliley Act e aparecem no Appendix F to Part 225.

O material disponível não mostra mudança recente nessas regras, mas as situa como o marco que define exigências de proteção sobre informações de clientes para as entidades alcançadas pela norma bancária federal. A legislação norte-americana aplicável a determinadas instituições financeiras também exige programas escritos de segurança da informação com salvaguardas administrativas, técnicas e físicas adequadas ao porte, à complexidade e à natureza das atividades da entidade, segundo o Appendix B to Part 30.

O que disse a Banking Dive sobre os examinadores?

Segundo a Banking Dive, uma mudança na definição de práticas inseguras ou imprudentes limitaria a atuação de examinadores bancários em vulnerabilidades de cibersegurança a situações em que o dano financeiro material seja provável, e não apenas possível ou plausível. Essa versão foi apresentada no contexto de críticas da senadora Elizabeth Warren.

Esse ponto não aparece confirmado na documentação regulatória incluída no material de pesquisa, portanto deve ser lido como uma referência atribuída à cobertura jornalística, e não como uma alteração verificada da norma.