O Banco de Moçambique aprovou novas regras que redefinem a arquitectura regulatória para data centres, cloud e contratos tecnológicos no sector financeiro
Por mais de 20 anos, o Aviso número 4/GBM/2003, de 14 de Agosto, regulou a matéria referente aos Centros de Dados das instituições de crédito e sociedades financeiras.
O famoso “Aviso 4”, um documento relativamente pequeno, de oito artigos, emitido pelo Banco de Moçambique em 2003, continha regulação básica sobre data centers, de onde se destacava uma das regras mais conhecidas sobre infraestrutura tecnológica das instituições de crédito e sociedades financeiras moçambicanas: o seu Centro de Processamento de Dados principal deveria estar localizado em Moçambique e deveria existir uma réplica para assegurar a recuperação em caso de falha ou desastre.
Os desenvolvimentos tecnológicos dos últimos vinte anos sobre esta matéria revelaram importantes insuficiências desse Aviso, desde dificuldades de interpretação com relação à localização dos data centers (designadamente a possibilidade e limites da localização desses centros em território estrangeiro), a possibilidade de contratação de serviços de cloud, entre outros. Essas insuficiências motivaram vários incidentes e até processos judiciais que são de domínio público entre o regulador financeiro e a banca comercial.
Essa realidade acaba de mudar significativamente.
Com efeito, o Banco de Moçambique aprovou, através do Aviso n.º 6/GGBM/2026, de 18 de Agosto, novas regras sobre processamento e armazenamento de dados das instituições de crédito e sociedades financeiras, revogando o regime que vigorava desde 2003.
A mudança ocorre poucos meses depois da entrada em vigor do Regulamento de Centros de Dados e do Regulamento de Computação em Nuvem, aprovados pelos Decretos n.º 71/2025 e n.º 72/2025, respectivamente. Em conjunto, estes instrumentos criam uma nova arquitectura regulatória para a infraestrutura digital do sector financeiro.
Dos Centros de Dados para os Sistemas
Uma das principais novidades do novo regime é que a regulação deixa de olhar apenas para a localização física do centro de dados. O novo Aviso distingue agora entre sistemas principais e sistemas secundários (periféricos) sendo que os sistemas principais são os sistemas essenciais à actividade da instituição e cuja falha pode produzir um impacto significativo no negócio. Estes devem estar alojados ou ser operados a partir de centros de dados localizados em Moçambique. Já os sistemas periféricos podem, mediante autorização do Banco de Moçambique, ser alojados no estrangeiro.
A resposta já não é apenas técnica. Tem consequências regulatórias.
Possibilidade de contratação da Cloud
Outra novidade importante do Aviso 6 é precisamente a admissão expressa da cloud neste processo: as instituições financeiras podem contratar serviços de cloud, gestão e colocação. Em todo o caso, vale pena notar que a utilização da cloud não elimina as regras aplicáveis à localização dos sistemas e dos dados.
O Regulamento de Computação em Nuvem exige registo e licenciamento dos provedores que operam em Moçambique, incluindo os estabelecidos no estrangeiro, e cria diferentes categorias de prestadores de acordo com a sensibilidade da informação que podem processar.
Exigências do contrato tecnológico
No sector financeiro, por força deste Aviso 6, um contrato de cloud ou de data centre já não se pode limitar ao preço, capacidade de armazenamento e disponibilidade prometida pelo fornecedor. As novas regras exigem atenção a matérias como localização dos dados, SLAs, cibersegurança, auditoria, continuidade operacional, subcontratação, acesso do regulador, terminação do serviço, migração e recuperação dos dados, incluindo até exit strategy do fornecedor.
O que se segue?
As instituições de crédito e sociedades financeiras moçambicanas terão agora de rever os seus centros de dados, sistemas, contratos de outsourcing e soluções de cloud e adequá-los ao novo regime. O trabalho é igualmente para actores aparentemente fora do sistema financeiro: os operadores de data centres e fornecedores de serviços de cloud, se eles prestarem os seus serviços a alguma instituição de crédito ou sociedade financeira.
Um abraço e até à próxima edição
