DORA. Resiliência digital no setor financeiro.
O DORA (Digital Operational Resilience Act) é o regulamento europeu que obriga o setor financeiro, e os seus fornecedores tecnológicos, a demonstrar resiliência perante incidentes digitais. Está em vigor e os supervisores já o exigem. A N4A (NIS for ALL) prepara a sua organização com a experiência de quem conhece o setor.
Resposta rápida
O DORA (Regulamento UE 2022/2554) é aplicável desde 17 de janeiro de 2025 e exige resiliência operacional digital a bancos, seguradoras, empresas de investimento, instituições de pagamento e prestadores de serviços de criptoativos, e alcança também os fornecedores de TI destas entidades, por via contratual. Assenta em cinco pilares: gestão de risco de TI, notificação de incidentes, testes de resiliência, risco de fornecedores e partilha de informação.
EM LINGUAGEM CLARA
Continuidade do negócio perante falhas dos sistemas.
É esta a capacidade que o DORA exige. Ao contrário de orientações anteriores, é lei direta em toda a União Europeia, aplicável desde 17 de janeiro de 2025, com supervisão ativa das autoridades financeiras. Exige provas, testes e registos, e não apenas intenções.
Quem está abrangido.
Os fornecedores de TI também são afetados.
Se a sua empresa presta serviços tecnológicos ao setor financeiro, os requisitos do DORA aplicam-se-lhe por via contratual, mesmo sem ser uma entidade financeira. Os seus clientes exigirão cláusulas, registos e evidências, e a preparação torna-se um fator de diferenciação comercial.
Os cinco pilares do DORA.
1. Gestão de risco de TI
Governo e controlo dos sistemas críticos, com a administração responsável pela estratégia de resiliência.
2. Notificação de incidentes
Reportar incidentes graves ao supervisor financeiro, em prazos curtos e formatos definidos.
3. Testes de resiliência
Testar regularmente a capacidade de resposta dos sistemas, incluindo testes avançados para as entidades de maior dimensão.
4. Risco de fornecedores
Controlar os terceiros de quem depende, com contratos e registos de informação exigidos por lei.
5. Partilha de informação
Cooperação no setor sobre ameaças e vulnerabilidades, para elevar a resiliência do conjunto.
Como a N4A acompanha a conformidade.
Diagnóstico DORA
Levantamento do que já cumpre, do que falta e das prioridades, com um mapa claro do esforço necessário.
Plano e implementação
Políticas, registo de fornecedores, processos de incidentes e programa de testes, ajustados à sua dimensão.
Preparação para o supervisor
Documentação e evidências prontas para o escrutínio do regulador, preparadas com antecedência.
PERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
O DORA, Digital Operational Resilience Act (Regulamento UE 2022/2554), é o regulamento europeu de resiliência operacional digital do setor financeiro. Obriga as entidades financeiras a gerir o risco de TI, reportar incidentes, testar a resiliência e controlar os terceiros de quem dependem, e alcança também os seus fornecedores tecnológicos.
Desde 17 de janeiro de 2025. É lei direta em toda a União Europeia, sem necessidade de transposição nacional, e a supervisão é feita pelas autoridades do setor financeiro.
Na prática, sim: o DORA obriga as entidades financeiras a impor requisitos contratuais e registos aos seus prestadores de serviços de TI. Os requisitos chegam-lhe por via contratual, e a preparação torna-se um argumento para obter e manter esses contratos.
A NIS2 (em Portugal, o DL 125/2025) é o regime transversal de cibersegurança para 17 setores; o DORA é o regime específico do setor financeiro, mais exigente e com supervisão financeira própria. Para as entidades financeiras, o DORA prevalece nas matérias que regula; muitas organizações convivem com os dois.
Resiliência operacional digital. Preparada antes da supervisão.
Numa reunião de meia hora, fica a conhecer a posição da sua organização face ao DORA.