Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Conformidade e Governação

O que dizem as regras do CBUAE sobre cibersegurança e subcontratação?

Como as regras do CBUAE abrangem o risco cibernético, a comunicação de incidentes, a subcontratação e a cloud para os bancos e as instituições financeiras licenciadas dos EAU, com base no Rulebook do CBUAE.
Por VigilbasePublicado em
Ler o guiaMais tópicos

O Banco Central dos EAU (CBUAE) não tem um regulamento autónomo de cibersegurança. Os seus requisitos de cibersegurança constam do Regulamento de Gestão do Risco Operacional, em vigor desde 14 de setembro de 2026, que exige que todas as instituições financeiras licenciadas mantenham um quadro de gestão do risco de TIC e de cibersegurança e comuniquem os incidentes significativos. O Regulamento de Subcontratação para Bancos rege a subcontratação material, e orientações conjuntas sobre tecnologias facilitadoras abrangem a computação em nuvem. Tanto as regras de risco operacional como as de subcontratação exigem que o sistema principal de registo permaneça nos EAU.

Que regras do CBUAE abrangem a cibersegurança?

O Rulebook do CBUAE lista os instrumentos abaixo. O próprio Rulebook indica que não tem efeito jurídico e que prevalecem os textos emitidos através dos canais formais, como o Jornal Oficial dos EAU.
1.Regulamento de Gestão do Risco Operacional (C 1/2026, com efeitos a partir de 14 de setembro de 2026): aplica-se a todas as instituições financeiras licenciadas que sejam pessoas coletivas e substitui o Regulamento e as Normas de Risco Operacional de 2018.
2.Regulamento de Subcontratação para Bancos e respetivas Normas (C 14/2021, com efeitos a partir de 15 de julho de 2021): aplicam-se a todos os bancos que operam nos EAU, numa base individual e ao nível do grupo.
3.Orientações para Instituições Financeiras que Adotam Tecnologias Facilitadoras (emitidas a 15 de novembro de 2021): orientações conjuntas do CBUAE, da SCA, da DFSA e da FSRA, que incluem a computação em nuvem.
4.Regulamento de Proteção do Consumidor (C 8/2020) e Normas: incluem a notificação ao CBUAE de violações significativas de dados dos consumidores.

O que exige o Regulamento de Gestão do Risco Operacional em matéria de cibersegurança?

O artigo 8.º estabelece os requisitos de TIC e de cibersegurança para as instituições financeiras licenciadas.
1.O conselho de administração deve aprovar e supervisionar o quadro de gestão do risco de TIC e de cibersegurança e garantir a sua eficácia.
2.A política de TIC e de cibersegurança deve abranger, no mínimo, a governação, a titularidade dos riscos, medidas de segurança como controlos de acesso, gestão de identidades, segurança de rede, segurança na gestão de fornecedores e testes de vulnerabilidades, a gestão de dados, as operações de TIC e os planos de resposta a incidentes, de continuidade do negócio e de recuperação de desastres.
3.Os programas de proteção, deteção, resposta e recuperação devem ser testados regularmente.
4.O sistema principal de registo deve ser mantido e armazenado de forma contínua nos EAU, incluindo quando é subcontratado.
5.As instituições devem também cumprir os regulamentos de TIC, de cibersegurança e de segurança da informação emitidos pelas autoridades competentes dos EAU.

Como devem os incidentes ser comunicados ao CBUAE?

Perante eventos de risco operacional que afetem, ou possam afetar, significativamente a continuidade ou a integridade de operações críticas, a instituição deve notificar o CBUAE no prazo de 4 horas e apresentar um relatório resumido no prazo de 24 horas, voltando a notificá-lo quando retomar o funcionamento normal. Separadamente, qualquer incidente de alto risco deve ser notificado no prazo de 72 horas, segundo critérios definidos em políticas aprovadas pelo conselho de administração. Os testes periódicos às funções críticas devem incluir testes de intrusão realizados por um terceiro independente, sendo os resultados apresentados ao conselho de administração.

O que exigem dos bancos as regras de subcontratação?

Os bancos continuam a ser integralmente responsáveis pelos riscos de tudo o que subcontratam.
1.A subcontratação material exige a aprovação do conselho de administração e uma notificação prévia de não objeção do CBUAE.
2.A diligência devida abrange a segurança do prestador, incluindo a cibersegurança.
3.Os contratos devem conceder ao CBUAE, e a qualquer agente por ele designado, acesso ao prestador e o direito de realizar visitas no local.
4.Os prestadores devem notificar o banco de qualquer violação dos dados do banco sem demora injustificada, e o banco deve notificar imediatamente o CBUAE das violações materiais.
5.Os dados confidenciais não podem ser partilhados fora dos EAU sem a aprovação do CBUAE e o consentimento prévio por escrito do cliente.
6.Os bancos precisam de planos de contingência para reinternalizar as funções subcontratadas.

O que dizem as orientações do CBUAE sobre a cloud?

As orientações sobre tecnologias facilitadoras são orientações, e não regras vinculativas, e os regulamentos vinculativos prevalecem sobre elas. Indicam que as instituições devem dialogar com a respetiva autoridade de supervisão sobre planos de cloud materiais, incluindo os casos em que possa ser necessária aprovação, e avaliar a localização dos centros de dados. Os contratos de cloud devem abranger a localização dos centros de dados e o aviso prévio de alterações, os direitos dos reguladores de monitorizar e auditar, e um plano de saída. Recomendam também avaliações de vulnerabilidades e testes de intrusão específicos do acordo de cloud, pelo menos uma vez por ano.

Como é assegurado o cumprimento das regras do CBUAE?

As violações do Regulamento de Gestão do Risco Operacional e das respetivas Normas podem dar origem a medidas de supervisão e a sanções administrativas e financeiras. Estas podem incluir a retirada ou a restrição dos poderes da direção de topo ou dos membros do conselho de administração, a gestão provisória da instituição, coimas e a inibição de pessoas singulares de exercerem funções no setor financeiro dos EAU.

Em que pontos ajuda a Vigilbase com as evidências para o CBUAE?

Uma notificação em 4 horas depende de saber rapidamente o que foi afetado. O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar, e cada investigação regista as evidências, a ação e a verificação, o que ajuda a reunir os factos para as notificações de incidentes e os relatórios ao conselho de administração. O Cloudflare gerido opera os controlos de WAF e DDoS incluídos no âmbito para a banca online e as APIs. Ao abrigo destas regras, qualquer prestador de segurança constitui um acordo com terceiros, pelo que deve tratar a contratação através do seu processo de subcontratação, incluindo se é material e se exige a não objeção do CBUAE, e apresentar os seus requisitos de localização de dados na definição do âmbito.

Sobre este guia

Este guia resume textos do Rulebook do CBUAE disponíveis em outubro de 2026. Não constitui aconselhamento jurídico. O Rulebook não tem efeito jurídico, e prevalecem os textos publicados através dos canais formais, como o Jornal Oficial dos EAU. Confirme as suas obrigações junto do CBUAE e do seu consultor jurídico.

Principais conclusões

✓Os requisitos de cibersegurança do CBUAE constam do seu Regulamento de Gestão do Risco Operacional, com efeitos a partir de 14 de setembro de 2026, e não de um regulamento autónomo de cibersegurança.
✓Os eventos de risco operacional significativos devem ser notificados no prazo de 4 horas, e os incidentes de alto risco no prazo de 72 horas.
✓A subcontratação material pelos bancos exige a aprovação do conselho de administração e a não objeção do CBUAE, e o sistema principal de registo permanece nos EAU.
✓As orientações sobre cloud pedem às instituições que dialoguem com o respetivo supervisor sobre planos de cloud materiais e que avaliem a localização dos centros de dados.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

SOC gerido

Saiba mais

Cloudflare gerido

Saiba mais

Comece a utilizar o Vigilbase OS

Saiba mais

Cibersegurança gerida nos EAU

Saiba mais

Perguntas frequentes

O CBUAE tem um regulamento de cibersegurança?

Não tem um regulamento autónomo. Os requisitos de cibersegurança constam do artigo 8.º do Regulamento de Gestão do Risco Operacional, a par das regras de subcontratação para bancos, das regras sobre dados dos consumidores e das orientações sobre cloud. As instituições devem também cumprir os regulamentos de TIC e de cibersegurança emitidos por outras autoridades competentes dos EAU.

Com que rapidez devem os bancos dos EAU comunicar incidentes ao CBUAE?

No prazo de 4 horas para eventos de risco operacional que afetem significativamente operações críticas, com um relatório resumido no prazo de 24 horas. Os incidentes de alto risco devem ser notificados no prazo de 72 horas.Responsabilidades nas operações de segurançaCobertura e compromissos de resposta a incidentes

Pode um banco dos EAU subcontratar as operações de segurança?

Sim, dentro das regras de subcontratação. Os bancos continuam integralmente responsáveis, a subcontratação material exige a aprovação do conselho de administração e a não objeção do CBUAE, e os contratos devem conceder ao CBUAE direitos de acesso e de visita no local.Responsabilidades nas operações de segurançaAvalie um prestador de serviços de segurança geridos

Podem os bancos dos EAU utilizar serviços de cloud fora dos EAU?

O sistema principal de registo deve ser mantido e armazenado nos EAU, e os dados confidenciais não podem ser partilhados fora dos EAU sem a aprovação do CBUAE e o consentimento prévio por escrito do cliente. As orientações do CBUAE sobre cloud pedem às instituições que avaliem a localização dos centros de dados e que dialoguem com o respetivo supervisor sobre planos de cloud materiais.

Tópicos Relacionados

Noções básicas de segurança

O que é o SOC?

Conformidade e Governação

Que nível de Managed Cloudflare deve contratar uma equipa de serviços financeiros?

Conformidade e Governação

PDPL dos EAU

Conformidade e Governação

Norma UAE IA

Conformidade e Governação

Escolher um MSSP nos EAU

Começar agora

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.
Começar agora Continuar a aprender