Até pouco tempo atrás, modernizar o core bancário era uma decisão discricionária: um business case que competia por orçamento com outras prioridades e podia, se necessário, esperar mais um ciclo. Em 2026, essa lógica mudou. Não porque a tecnologia tenha ficado mais urgente do dia para a noite, mas porque o Banco Central colocou uma sequência de prazos no calendário — e todos eles convergem para o mesmo ponto: a capacidade da instituição de mudar sua infraestrutura central com segurança e dentro do prazo.

Isoladamente, cada exigência é administrável. Empilhadas ao longo do mesmo ano, elas formam um teste de estresse para qualquer arquitetura que ainda dependa de sistemas legados difíceis de auditar, integrar ou alterar.

O calendário que já está em vigor

• 1º de março de 2026 — entraram em vigor os 14 controles mínimos de cibersegurança do Banco Central, com impacto direto em core banking, gestão de identidade e acesso (IAM/MFA), SOC/SIEM e arquitetura em nuvem.
• Maio de 2026 — passou a valer o credenciamento de Prestadores de Serviços de Tecnologia da Informação (PSTIs), pela BCB 547/26, que atinge diretamente contratos com fornecedores de TI, provedores de nuvem e a cadeia de compliance de terceiros.
• Ao longo de 2026 — seguem em evolução as exigências de qualidade de APIs e portabilidade do Open Finance, pressionando API gateways, core banking, gestão de consentimento e as jornadas de clientes pessoa jurídica.
• 31 de dezembro de 2026 — prazo final para adequação total ao modelo de Banking as a Service previsto na Resolução Conjunta 16, com impacto em core banking, segregação contábil e contratos.
• Ao longo de 2026 — continuam os lançamentos de Pix Automático, Pix Parcelado e Pix em Garantia, que exigem liquidez em tempo real, conciliação e evolução das APIs de Pix.
• Num horizonte já visível — a reforma de risco de mercado do Banco Central, prevista para 2027, vai exigir adequação de sistemas de risco, precificação e data warehouse — o tipo de mudança que não se faz da noite para o dia sobre uma base legada.

Em seguros, o movimento é paralelo: a SUSEP também tem 2026 como ano de transição, com o SRO v3 (22 novos leiautes) passou a valer desde 2/3/26 e uma nova fase do Open Insurance (OPIN) entre maio e dezembro, ambos exigindo evolução de APIs, integração de dados legados e governança.

O número que dá o tamanho do problema 49% dos sistemas legados em grandes empresas ainda estão ativos e em uso — segundo o Gartner (2024). Não é uma minoria residual: é quase metade da base.

Por que o empilhamento de prazos é o verdadeiro risco

Nenhuma dessas exigências, isoladamente, obriga uma instituição a reescrever seu core. O risco aparece quando todas elas — segurança, credenciamento de fornecedores, Open Finance, BaaS, Pix, e a reforma de risco logo em seguida — recaem sobre a mesma base tecnológica dentro da mesma janela de tempo. Cada mudança feita sob pressão, em cima de um sistema pouco documentado ou pouco auditável, aumenta a chance de indisponibilidade, retrabalho ou não conformidade parcial — exatamente o que essas regras foram desenhadas para evitar.

E o orçamento para absorver esse volume de mudança é mais apertado do que parece. Estudos de mercado apontam que cerca de 80% do orçamento de TI em empresas com sistemas legados é consumido apenas pela manutenção do que já existe, restando perto de 20% apenas para qualquer iniciativa nova — incluindo, agora, a adequação regulatória que deixou de ser opcional.

Isso cria um paradoxo: o ano em que mais se precisa de capacidade de mudança é o mesmo em que menos orçamento sobra livre para mudar. Instituições que tratam cada exigência do Banco Central como um remendo pontual tendem a chegar a 2027 com mais dívida técnica, não menos — pois cada patch de compliance, feito isoladamente, é mais uma camada sobre a arquitetura antiga.

O lado financeiro da conta

Há também um argumento de custo puro, independente da regulação. Segundo a Kyndryl, grandes empresas que passam por processos de modernização registram economia média de US$ 25 milhões por ano (dado pesquisado entre 1000 empresas americanas de médio e grande porte). Esse número ajuda a reformular a pergunta: o dinheiro que uma modernização de core exige não é um gasto adicional imposto pela regulação — é, em boa parte, dinheiro que já está sendo perdido todos os anos apenas para manter um sistema difícil de operar.

Em outras palavras: para muitas instituições, 2026 não é o ano em que a modernização passou a custar caro. É o ano em que ficou impossível continuar adiando um investimento que, silenciosamente, já vinha se pagando sozinho.

O que muda na forma de decidir

A pergunta que as lideranças de TI e de risco em instituições financeiras precisam responder em 2026 não é mais “vamos modernizar o core?”. É “vamos tratar essa sequência de prazos como uma lista de tarefas de compliance, ou como a oportunidade de repensar a arquitetura de uma vez, com rastreabilidade e auditabilidade desde o início?”

Quem escolher a primeira opção provavelmente vai cumprir cada prazo — e chegar em 2027 com uma base ainda mais complexa de manter. Quem escolher a segunda sai do ciclo regulatório de 2026 com uma infraestrutura preparada não apenas para as regras de hoje, mas para o próximo ciclo — porque, no setor financeiro brasileiro, sempre haverá um próximo.

Fontes

• Banco Central do Brasil — calendário regulatório 2026: 14 controles mínimos de cibersegurança (vigência 1º mar 2026); credenciamento de PSTIs, BCB 547/26 (mai 2026); Resolução Conjunta 16 sobre Banking as a Service (adequação total até 31 dez 2026); regras de Open Finance; cronograma de Pix Automático, Parcelado e em Garantia; reforma de risco de mercado prevista para 2027.
• SUSEP — calendário regulatório 2026: SRO v3, 22 novos leiautes (mar 2026); Open Insurance (OPIN), nova fase (mai–dez 2026).
• Gartner (2024) — 49% dos sistemas legados em grandes empresas ainda ativos.
• ThoughtWorks — cerca de 80% do orçamento de TI de empresas com sistemas legados é consumido por manutenção, restando cerca de 20% para inovação.
• Kyndryl — economia média de US$ 25 milhões/ano em grandes empresas após processos de modernização.
• Nota: como normas em vigência ou tramitação estão sujeitas a ajustes, recomenda-se confirmar datas e textos finais diretamente nos comunicados oficiais do Banco Central e da SUSEP antes da publicação.