Regulamento DORA: o que é, quem abrange e como preparar a empresa

O que é o Regulamento DORA

DORA é a sigla inglesa de Digital Operational Resilience Act, o Regulamento (UE) 2022/2554 relativo à resiliência operacional digital do setor financeiro. Foi publicado em dezembro de 2022 e é diretamente aplicável em todos os Estados-Membros desde 17 de janeiro de 2025, sem necessidade de transposição nacional. Isto significa que as obrigações são as mesmas em Lisboa, Madrid ou Frankfurt, embora cada país designe as suas próprias autoridades de supervisão.

O objetivo é simples de enunciar e exigente de cumprir: que as entidades financeiras giram o risco tecnológico com o mesmo rigor com que gerem o risco de crédito ou de liquidez. Até ao DORA, as exigências sobre tecnologia estavam dispersas em orientações da EBA, da EIOPA e da ESMA. O DORA reúne-as num único quadro vinculativo e acrescenta um regime de supervisão direta a nível europeu para os fornecedores de TIC considerados críticos.

O Regulamento é complementado por normas técnicas (RTS e ITS) das três autoridades europeias de supervisão, que concretizam o quadro de gestão do risco, a classificação de incidentes, os modelos de notificação e o registo de informações sobre fornecedores.

Quem está abrangido pelo DORA em Portugal

O artigo 2.º do Regulamento enumera uma lista extensa de entidades financeiras. Na prática, em Portugal abrange quase todas as empresas que operam com licença financeira, independentemente da dimensão, embora se preveja o princípio da proporcionalidade e regimes simplificados para algumas categorias mais pequenas.

Para além das entidades financeiras, o DORA alcança os terceiros prestadores de serviços de TIC. Qualquer empresa de software, alojamento, cloud, cibersegurança ou análise de dados que preste serviços a uma entidade financeira verá as exigências do Regulamento refletidas nos seus contratos, mesmo não sendo diretamente regulada. Um subconjunto de fornecedores, os designados como críticos pelas autoridades europeias, fica sob supervisão direta de um supervisor principal a nível da UE.

• Instituições de crédito, instituições de pagamento e instituições de moeda eletrónica.
• Empresas de investimento, sociedades gestoras de fundos (OICVM e FIA) e prestadores de serviços de criptoativos.
• Empresas de seguros e resseguros, mediadores de seguros e fundos de pensões profissionais, com exclusões para os mais pequenos.
• Plataformas de negociação, centrais de valores mobiliários, contrapartes centrais e agências de notação de risco.
• Prestadores de serviços de informação sobre contas (PSD2) e prestadores de serviços de financiamento colaborativo.
• Terceiros prestadores de serviços de TIC do setor financeiro, com um regime específico para os designados como críticos.

Os cinco pilares do Regulamento

O DORA organiza-se em cinco blocos de obrigações. Perceber esta estrutura ajuda a organizar o projeto de conformidade, porque cada pilar costuma cair em equipas diferentes: tecnologia, segurança, compras, jurídico e administração.

O primeiro pilar, a gestão do risco de TIC (artigos 5.º a 16.º), exige um quadro documentado, aprovado e revisto pelo órgão de administração, que cubra identificação de ativos, proteção, deteção, resposta, recuperação e aprendizagem. A responsabilidade final recai expressamente sobre o órgão de administração, que deve receber formação e aprovar a estratégia de resiliência digital.

O segundo pilar é a gestão, classificação e notificação de incidentes relacionados com as TIC (artigos 17.º a 23.º). As entidades devem classificar os incidentes segundo critérios harmonizados e notificar os incidentes graves à autoridade competente com uma notificação inicial, um relatório intercalar e um relatório final, dentro de prazos concretos definidos nas normas técnicas. Podem também notificar voluntariamente as ciberameaças significativas.

O terceiro pilar são os testes de resiliência operacional digital (artigos 24.º a 27.º). Todas as entidades devem ter um programa de testes proporcional à sua dimensão: análises de vulnerabilidades, testes de segurança de rede, revisões de código ou testes baseados em cenários. As entidades mais significativas devem ainda realizar testes avançados de penetração baseados em ameaças (TLPT) pelo menos de três em três anos, seguindo o quadro TIBER-EU.

O quarto pilar, a gestão do risco de terceiros (artigos 28.º a 44.º), é provavelmente o que gera mais trabalho. Obriga a manter um registo de informações com todos os acordos contratuais sobre serviços de TIC, a avaliar os fornecedores antes de contratar, a incluir cláusulas contratuais mínimas (níveis de serviço, acesso e auditoria, localização dos dados, saída ordenada) e a dispor de estratégias de saída para os serviços que suportam funções críticas ou importantes.

O quinto pilar é a partilha de informações e de inteligência sobre ciberameaças (artigo 45.º). É voluntário, mas o Regulamento incentiva as entidades a participar em acordos de partilha e exige que quem o faça notifique a sua participação à autoridade competente.

Quem supervisiona o DORA em Portugal

O Regulamento não cria um supervisor novo. Cada entidade depende da autoridade que já a supervisiona no seu setor, e essa autoridade assume as competências do DORA. Em Portugal, a repartição segue a estrutura habitual do sistema financeiro.

O Banco de Portugal supervisiona as instituições de crédito, as instituições de pagamento, as instituições de moeda eletrónica e os prestadores de serviços de informação sobre contas, em articulação com o Banco Central Europeu para as instituições significativas do Mecanismo Único de Supervisão. A Comissão do Mercado de Valores Mobiliários (CMVM) é a autoridade competente para empresas de investimento, sociedades gestoras, plataformas de negociação, centrais de valores mobiliários e prestadores de serviços de criptoativos. A Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) supervisiona seguradoras, resseguradoras, mediadores e fundos de pensões.

Os três supervisores publicaram orientações, perguntas frequentes e canais de notificação de incidentes nos seus sítios institucionais. Convém confirmar diretamente no sítio do supervisor competente os formulários e prazos em vigor, porque as normas técnicas foram sendo atualizadas desde 2025. Para os fornecedores de TIC críticos, a supervisão é exercida por uma das autoridades europeias (EBA, ESMA ou EIOPA), designada como supervisor principal.

Quanto a prazos, o DORA é plenamente aplicável desde 17 de janeiro de 2025, sem período transitório geral. O quadro de gestão do risco deve ser revisto pelo menos uma vez por ano e após cada incidente grave, o registo de informações é entregue ao supervisor com a periodicidade que este fixar, e os testes TLPT seguem um ciclo de três anos para as entidades designadas.

Falhas típicas em entidades de média dimensão e fornecedores

As grandes entidades trabalham há anos com as orientações da EBA e costumam ter estruturas de risco tecnológico maduras. O problema está nas entidades médias e pequenas e, sobretudo, nos fornecedores de TIC, que descobrem o DORA quando um cliente financeiro lhes envia um anexo contratual de trinta páginas. Nas autoavaliações aparecem repetidamente as mesmas lacunas, quase sempre de governo, documentação e contratos.

• O órgão de administração não aprovou formalmente o quadro de gestão do risco de TIC nem recebeu formação sobre resiliência digital.
• Não existe um inventário completo de ativos, funções críticas ou importantes e dependências entre sistemas, fornecedores e processos de negócio.
• O registo de informações sobre fornecedores está incompleto ou não segue a estrutura da norma técnica aplicável.
• Os contratos com fornecedores de TIC não incluem direitos de auditoria, localização dos dados, obrigações de notificação de incidentes nem condições de saída.
• Os procedimentos de gestão de incidentes não permitem classificar e notificar nos prazos exigidos, sobretudo fora do horário de expediente.
• O programa de testes limita-se a uma análise de vulnerabilidades anual, sem testes baseados em cenários nem verificação dos planos de continuidade.
• Não há estratégias de saída documentadas para os serviços cloud que suportam funções críticas ou importantes.

Como preparar a empresa passo a passo

Um plano de adequação realista para uma entidade de média dimensão organiza-se normalmente em quatro fases. A primeira é o diagnóstico: comparar o que já existe (políticas de segurança, continuidade de negócio, gestão de fornecedores) com os artigos do DORA e as suas normas técnicas, e priorizar as diferenças pelo impacto nas funções críticas ou importantes.

A segunda fase é o governo. É preciso atribuir responsáveis por pilar, aprovar em conselho de administração a estratégia de resiliência digital e definir o apetite pelo risco tecnológico. Sem este passo, o resto do projeto fica no departamento de tecnologia e não resiste a uma inspeção.

A terceira fase é a execução: completar o inventário de ativos e o registo de fornecedores, renegociar contratos, atualizar os procedimentos de incidentes e desenhar o programa de testes. A quarta é a operação contínua, com revisões anuais, indicadores para a administração e evidências organizadas para responder a um pedido do supervisor.

Se a sua empresa é um fornecedor de TIC e não uma entidade financeira, a abordagem é semelhante, mas vista do outro lado do contrato: prepare antecipadamente a documentação que os seus clientes vão pedir (medidas de segurança, subcontratantes, localização dos dados, plano de continuidade, procedimento de notificação de incidentes) e avalie a sua capacidade de aceitar direitos de auditoria e condições de saída. Uma autoavaliação gratuita em baltum.ai mostra em poucos minutos em que pilares está mais longe do nível esperado e por onde começar.

Este artigo é informativo e não constitui aconselhamento jurídico. O baltum.ai é um software independente, não um organismo de certificação.