As fintechs são instituições financeiras com serviços específicos (lembre-se que os bancos têm diversos serviços). Pense em instituições de pagamento, empresas de meios de pagamento, companhias de investimento e de oferecimento de crédito. As atividades delas são reguladas pelo Banco Central e são supervisionadas conforme o porte. Essas empresas só podem atuar com o “dinheiro que tem em caixa”, não podem alavancar (usar dinheiro de clientes como garantia para empréstimo, por exemplo).
Ambos os tipos de instituições precisam ter uma política de segurança cibernética, considerando porte, risco e modelo de negócio. Resolução 4.893 do Banco Central define as diretivas para bancos, e para fintechs a resolução 85/2021 (uma adaptação da resolução dos bancos).
Na prática, instituições precisam trocar informações sobre melhores práticas e ter protocolo para incidentes cibernéticos. Regramento define ainda relatórios anuais de risco que precisam ser entregues ao Banco Central.
Bancos são alvo de maior escrutínio que fintechs por serem instituições maiores e mais complexas. Mesmo assim, fintechs são acompanhadas e precisam enviar relatórios para o Banco Central, passar por auditorias e monitorar indicadores de risco.
Bancos têm uma “reserva”, mas apenas em casos de falência. Em caso de liquidação, existe o FGC (Fundo Garantidor de Créditos), que é uma instituição independente que guarda esses depósitos e repassa para os clientes o saldo que eles tinham. A regra estabelece devolução de dinheiro de até R$ 250 mil por cliente — o valor máximo por CPF é de R$ 1 milhão em quatro instituições distintas.
O FGC não cobre incidentes cibernéticos, porém a segurança cibernética é considerada um fator de risco. Segundo nota da ABBC (Associação Brasileira de Bancos), que representa bancos de diferentes portes e fintechs, os mecanismos existem justamente para evitar riscos operacionais e falhas que “comprometam a confiança no sistema financeiro”.