O que é o DORA?
O DORA (Digital Operational Resilience Act) é o Regulamento (UE) 2022/2554 relativo à resiliência operacional digital do setor financeiro. Estabelece regras uniformes para que bancos, seguradoras, instituições de pagamento e outras entidades financeiras giram o risco de TIC e consigam resistir, responder e recuperar de perturbações e ciberataques.
O DORA aplica-se desde 17 de janeiro de 2025, diretamente em todos os Estados-Membros da UE. A responsabilidade pelo risco de TIC é do órgão de administração. O DORA não é uma certificação: não existe certificado DORA e a conformidade é verificada pelas autoridades de supervisão competentes.
Quem tem de cumprir o Regulamento DORA?
- Instituições de crédito e bancos
- Instituições de pagamento e instituições de moeda eletrónica
- Empresas de investimento e outros participantes do mercado de capitais
- Empresas de seguros e de resseguros
- Prestadores de serviços de criptoativos autorizados ao abrigo do MiCA
- Prestadores terceiros de serviços de TIC a entidades financeiras; os críticos são supervisionados diretamente pelas Autoridades Europeias de Supervisão (EBA, EIOPA, ESMA)
O que verifica a autoavaliação DORA
As perguntas seguem os cinco pilares do regulamento:
- Quadro de gestão do risco de TIC: governação, papel do órgão de administração, inventário de ativos, proteção, deteção, cópias de segurança e recuperação
- Gestão, classificação e notificação ao supervisor de incidentes relacionados com as TIC
- Testes de resiliência operacional digital, incluindo testes de penetração baseados em ameaças (TLPT) para entidades significativas
- Gestão do risco de terceiros prestadores de TIC: diligência devida, requisitos contratuais, estratégias de saída e registo de informações
- Partilha de informações sobre ciberameaças e vulnerabilidades
Lacunas típicas na conformidade com o DORA
- O quadro de risco de TIC existe no papel, mas o órgão de administração não o aprovou nem o revê
- Não há critérios para classificar incidentes graves, pelo que os prazos de notificação não podem ser cumpridos
- O registo de informações sobre acordos com prestadores de TIC está incompleto ou desatualizado
- Os contratos com prestadores de TIC não incluem as cláusulas exigidas pelo DORA, como direitos de auditoria e planos de saída
- As cópias de segurança e os planos de recuperação não são testados regularmente e não existe programa de testes
DORA, ISO 27001 e próximos passos
Um sistema de gestão de segurança da informação segundo a ISO/IEC 27001 ajuda muito, mas não cobre tudo o que o DORA exige, por exemplo os prazos de notificação de incidentes, o registo de informações ou os TLPT. A autoavaliação mostra o que já tem e o que falta.
Os fornecedores de TI fora da UE, por exemplo na Ucrânia, Geórgia ou Cazaquistão, que trabalham para bancos e fintechs europeus cumprem o DORA através dos contratos com os clientes, auditorias e questionários de segurança. Com o relatório de lacunas prepare as evidências e, se quiser, pratique a entrevista com um auditor no simulador de auditoria BALTUM AI.