Conformidade e Governação

Conformidade com o DORA: o que exige o Regulamento relativo à resiliência operacional digital

O DORA, Regulamento (UE) 2022/2554, aplica-se desde 17 de janeiro de 2025. A quem se aplica, os cinco pilares, os prazos de notificação de incidentes e o risco de terceiros no domínio das TIC.

Cumprir o DORA significa cumprir o Regulamento (UE) 2022/2554, o Regulamento relativo à resiliência operacional digital, que se aplica desde 17 de janeiro de 2025 a bancos, instituições de pagamento e de moeda eletrónica, empresas de investimento, seguradoras, prestadores de serviços de criptoativos e outras entidades financeiras da UE. Estabelece requisitos uniformes para a gestão do risco associado às TIC, a notificação de incidentes relacionados com as TIC, os testes de resiliência operacional digital, o risco associado às TIC devido a terceiros e a partilha de informações, e cria um quadro de superintendência da UE para os terceiros prestadores de serviços de TIC críticos. Este guia resume o regulamento e as respetivas normas técnicas, com base nos textos publicados no EUR-Lex e nas páginas das Autoridades Europeias de Supervisão.

A quem se aplica o DORA?

O artigo 2.º enumera 20 tipos de entidades financeiras, além dos terceiros prestadores de serviços de TIC. A EIOPA descreve o DORA como aplicável a 20 tipos diferentes de entidades financeiras e a terceiros prestadores de serviços de TIC. As entidades financeiras aplicam as regras em proporção da sua dimensão, do seu perfil de risco global e da natureza, escala e complexidade dos seus serviços (artigo 4.º).

1.Instituições de crédito, instituições de pagamento, prestadores de serviços de informação sobre contas e instituições de moeda eletrónica.

2.Empresas de investimento, plataformas de negociação, contrapartes centrais, centrais de valores mobiliários, repositórios de transações e prestadores de serviços de comunicação de dados.

3.Gestores de fundos de investimento alternativos e sociedades gestoras.

4.Empresas de seguros e de resseguros, mediadores de seguros e instituições de realização de planos de pensões profissionais.

5.Prestadores de serviços de criptoativos e emitentes de criptofichas referenciadas a ativos.

6.Agências de notação de risco, administradores de índices de referência críticos, prestadores de serviços de financiamento colaborativo e repositórios de titularizações.

7.O artigo 2.º, n.º 3, exclui algumas entidades, incluindo os mediadores de seguros que sejam micro, pequenas ou médias empresas e as instituições de realização de planos de pensões profissionais cujos planos não tenham, no seu conjunto, mais de 15 membros.

Quando começou o DORA a aplicar-se?

O DORA foi publicado no Jornal Oficial a 27 de dezembro de 2022, entrou em vigor a 16 de janeiro de 2023 e aplica-se desde 17 de janeiro de 2025 (artigo 64.º). Enquanto regulamento, é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros. O detalhe consta de regulamentos delegados e de execução da Comissão, elaborados pelas Autoridades Europeias de Supervisão (ESAs): a EBA, a EIOPA e a ESMA.

Os cinco pilares do DORA

A EIOPA resume o âmbito do DORA em cinco áreas, frequentemente designadas como os seus cinco pilares, a par da superintendência dos terceiros prestadores de serviços de TIC críticos.

1.Gestão do risco associado às TIC (capítulo II): um quadro de gestão do risco associado às TIC sólido, abrangente e documentado, revisto pelo menos uma vez por ano. O órgão de administração define, aprova, supervisiona e é responsável por esse quadro, e assume a responsabilidade final pela gestão do risco associado às TIC.

2.Gestão, classificação e notificação de incidentes relacionados com as TIC (capítulo III): um processo para detetar, gerir e notificar incidentes, e a notificação dos incidentes de caráter severo relacionados com as TIC à autoridade competente.

3.Testes de resiliência operacional digital (capítulo IV): um programa de testes, com testes adequados, pelo menos anuais, a todos os sistemas e aplicações de TIC que suportam funções críticas ou importantes. As entidades identificadas pela respetiva autoridade competente realizam testes de penetração baseados em ameaças pelo menos de três em três anos.

4.Gestão do risco associado às TIC devido a terceiros (capítulo V): uma estratégia relativa ao risco associado às TIC devido a terceiros, um registo de informações sobre os contratos de TIC e disposições contratuais essenciais.

5.Partilha de informações (capítulo VI): as entidades financeiras podem trocar informações e dados sobre ciberameaças no seio de comunidades de confiança e notificam a respetiva autoridade competente quando aderem a esses acordos ou deles saem.

Notificação de incidentes de TIC ao abrigo do DORA

O artigo 17.º exige um processo de gestão de incidentes relacionados com as TIC e o registo de todos os incidentes relacionados com as TIC e ciberameaças significativas, com as causas profundas identificadas, documentadas e tratadas. O artigo 18.º define os critérios de classificação: clientes e operações afetados, duração e indisponibilidade do serviço, dispersão geográfica, perdas de dados, criticidade dos serviços afetados e impacto económico. Os incidentes de caráter severo relacionados com as TIC são notificados à autoridade competente nos termos do artigo 19.º, dentro dos prazos do Regulamento Delegado (UE) 2025/301 da Comissão.

1.Notificação inicial: no prazo de quatro horas após a classificação do incidente como de caráter severo e, no máximo, 24 horas após ter tomado conhecimento dele.

2.Relatório intercalar: no prazo de 72 horas após a notificação inicial, atualizado depois quando as atividades normais tiverem sido recuperadas.

3.Relatório final: no máximo um mês após o último relatório intercalar.

4.Se um prazo terminar num fim de semana ou feriado, o relatório pode ser apresentado até ao meio-dia do dia útil seguinte. As instituições de crédito, as contrapartes centrais, os operadores de plataformas de negociação e as entidades essenciais ou importantes ao abrigo da NIS2 não podem recorrer a esta possibilidade para as notificações iniciais nem para os relatórios intercalares.

5.Quando um incidente de caráter severo afeta os interesses financeiros dos clientes, as entidades financeiras informam esses clientes sem demora injustificada, bem como das medidas tomadas para o mitigar.

Risco de terceiros no domínio das TIC e o registo de informações

Uma entidade financeira que recorre a serviços de TIC prestados por terceiros continua plenamente responsável pelo cumprimento das suas obrigações ao abrigo do DORA (artigo 28.º). Mantém um registo de informações sobre todos os acordos contratuais relativos a serviços de TIC, distinguindo os que suportam funções críticas ou importantes, informa a respetiva autoridade competente pelo menos uma vez por ano sobre os novos acordos e disponibiliza o registo completo quando solicitado. O artigo 30.º enumera o que os contratos de TIC devem conter, incluindo a descrição dos serviços, os locais onde os dados são tratados, disposições de proteção de dados, níveis de serviço, assistência em incidentes de TIC sem custos adicionais ou a um custo fixado previamente, cooperação com as autoridades e direitos de rescisão. As ESAs designam os terceiros prestadores de serviços de TIC críticos e nomeiam uma autoridade de superintendência principal para cada um, que pode aplicar sanções pecuniárias compulsórias até 1% do volume de negócios médio diário a nível mundial do prestador (artigos 31.º e 35.º).

Como se relaciona o DORA com a NIS2

Para as entidades financeiras que sejam entidades essenciais ou importantes ao abrigo da Diretiva NIS2, o DORA é considerado um ato jurídico setorial da União (artigo 1.º, n.º 2, do DORA). Nos termos do artigo 4.º da NIS2, quando os requisitos de gestão de riscos e de notificação de incidentes de um ato desse tipo forem pelo menos equivalentes, as disposições correspondentes da NIS2 não se aplicam a essas entidades. Os Estados-Membros podem também exigir que as entidades financeiras enviem as suas notificações de incidentes DORA às autoridades ou CSIRT da NIS2. Em Portugal, o Decreto-Lei n.º 125/2025 designa o Banco de Portugal, a CMVM e a ASF como autoridades nacionais especiais de cibersegurança em matéria de resiliência operacional digital do setor financeiro.

Sanções ao abrigo do DORA

O DORA não fixa uma coima única para toda a UE. Os Estados-Membros estabelecem sanções administrativas e medidas corretivas efetivas, proporcionadas e dissuasivas, e as autoridades competentes podem aceder a documentos, realizar inspeções no local e exigir medidas corretivas (artigo 50.º). Verifique a lei nacional aplicável à sua entidade.

Onde ajudam os registos de eventos, as investigações e os registos de incidentes

O DORA exige mecanismos de deteção com limiares de alerta (artigo 10.º), o registo de todos os incidentes relacionados com as TIC (artigo 17.º) e revisões após incidentes de caráter severo (artigo 13.º). As normas de gestão do risco associado às TIC do Regulamento Delegado (UE) 2024/1774 acrescentam procedimentos de registo de eventos (logging) que definem os eventos a registar, o período de conservação e a proteção dos registos contra adulteração (artigo 12.º). O Vigilbase OS ajuda-o a produzir evidências para estes requisitos.

1.Deteção: o Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num só lugar. O agente Vigil investiga os incidentes de gravidade elevada e os analistas da Vigilbase tratam das exceções.

2.Registos de incidentes: cada investigação regista as evidências, as ações tomadas e a verificação, que a sua equipa pode utilizar ao classificar e notificar um incidente.

3.Conservação dos registos: a retenção predefinida é definida por conjunto de dados, normalmente entre 30 e 90 dias. Confirme-a face ao período de conservação definido nos seus procedimentos de registo de eventos.

4.Autoridade: escolhe se as ações ficam desativadas, são propostas para aprovação ou são executadas quando são de baixo risco e reversíveis.

5.Terceiros: se utilizar a Vigilbase, inscreva-a no seu registo de informações como qualquer outro serviço de TIC.

Responsabilidade e nota jurídica

A Vigilbase não torna uma entidade financeira conforme com o DORA, e o regulamento mantém a responsabilidade na entidade financeira e no seu órgão de administração. Este guia resume o Regulamento (UE) 2022/2554 e as respetivas normas técnicas, tal como publicados no EUR-Lex em outubro de 2026. Não constitui aconselhamento jurídico: as suas equipas de conformidade e jurídica decidem como o DORA se aplica à sua entidade.

Principais conclusões

✓O DORA, Regulamento (UE) 2022/2554, aplica-se às entidades financeiras da UE desde 17 de janeiro de 2025.

✓Os seus cinco pilares são a gestão do risco associado às TIC, a notificação de incidentes, os testes de resiliência, o risco associado às TIC devido a terceiros e a partilha de informações.

✓Os incidentes de caráter severo relacionados com as TIC exigem uma notificação inicial no prazo de quatro horas após a classificação e, no máximo, 24 horas após a deteção, um relatório intercalar no prazo de 72 horas e um relatório final no prazo de um mês.

✓As entidades financeiras mantêm um registo de informações sobre todos os contratos de TIC e continuam plenamente responsáveis quando externalizam.

✓Os registos de eventos, os registos de investigação e os registos de incidentes são evidências de que vai precisar, mas a responsabilidade continua a ser da entidade e do seu órgão de administração.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

Perguntas frequentes

Quando entrou o DORA em vigor?

O DORA entrou em vigor a 16 de janeiro de 2023 e aplica-se desde 17 de janeiro de 2025. É um regulamento, pelo que é diretamente aplicável em todos os Estados-Membros da UE, sem necessidade de transposição nacional.Escolha um pacote para serviços financeiros Discuta o seu âmbito com a Vigilbase

Quem tem de cumprir o DORA?

O DORA aplica-se a 20 tipos de entidades financeiras da UE, incluindo instituições de crédito, instituições de pagamento e de moeda eletrónica, empresas de investimento, seguradoras, prestadores de serviços de criptoativos e gestores de fundos, bem como a terceiros prestadores de serviços de TIC. Algumas entidades de pequena dimensão, como os mediadores de seguros que sejam PME, estão excluídas.As entidades financeiras aplicam as regras em proporção da sua dimensão, do seu perfil de risco e da natureza, escala e complexidade dos seus serviços.Escolha um pacote para serviços financeiros Cobertura e compromissos de resposta a incidentes

Quais são os prazos de notificação de incidentes do DORA?

Para um incidente de caráter severo relacionado com as TIC, a notificação inicial deve ser apresentada no prazo de quatro horas após a sua classificação como de caráter severo e, no máximo, 24 horas após ter tomado conhecimento dele. O relatório intercalar deve ser apresentado no prazo de 72 horas após a notificação inicial, e o relatório final no máximo um mês após o último relatório intercalar.Os prazos constam do Regulamento Delegado (UE) 2025/301 da Comissão. Algumas entidades podem apresentar a notificação até ao meio-dia do dia útil seguinte quando um prazo termina num fim de semana ou feriado.Responsabilidades nas operações de segurança O que faz um SIEM

O que é o registo de informações do DORA?

É um registo que cada entidade financeira mantém sobre todos os seus acordos contratuais relativos a serviços de TIC prestados por terceiros, distinguindo os que suportam funções críticas ou importantes. As entidades informam a respetiva autoridade competente sobre ele pelo menos uma vez por ano e disponibilizam o registo completo quando solicitado.Integrações suportadas e âmbito operacional Privacidade e tratamento de dados

A Vigilbase pode tornar-nos conformes com o DORA?

Não. O DORA mantém a responsabilidade na entidade financeira e no seu órgão de administração. O Vigilbase OS ajuda-o a produzir evidências: mantém os registos e eventos auditáveis num só lugar, e as suas investigações registam as evidências, as ações tomadas e a verificação.A retenção predefinida dos registos é definida por conjunto de dados, normalmente entre 30 e 90 dias, pelo que deve confirmá-la face aos seus próprios procedimentos de registo de eventos.Comece a utilizar o Vigilbase OS Como funciona a cibersegurança agêntica

Tópicos Relacionados

Noções básicas de segurança

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.

Começar agora Continuar a aprender