A perspetiva da Cyber Academy
DORA é o regulamento da UE que impõe um quadro de resiliência unificado às entidades financeiras e aos seus prestadores críticos de TIC. Cinco pilares: gestão do risco de TIC, reporte de incidentes, testes de resiliência incluindo TLPT, risco de TIC de terceiros, partilha de informação. Aplicável desde 17 de janeiro de 2025. É mais exigente do que NIS 2 na dimensão TIC; o princípio lex specialis determina a sua prevalência para as entidades financeiras.
Por que a DORA existe e quem ela vincula
Antes da DORA, a resiliência operacional digital das entidades financeiras na UE era um mosaico. Os bancos respondiam a um conjunto de expectativas de supervisão, as seguradoras a outro, e as regras sobre incidentes de TIC, externalização e testes variavam por setor e por Estado-Membro. A DORA substitui essa fragmentação por um único regulamento que se aplica diretamente em toda a União, sem necessidade de transposição nacional. O seu âmbito é deliberadamente amplo: bancos, seguradoras, empresas de investimento, instituições de pagamento e de moeda eletrónica, prestadores de serviços de criptoativos, plataformas de negociação e muitos outros, além dos prestadores terceiros críticos de serviços de TIC dos quais essas entidades dependem.
Este último ponto é o que torna a DORA diferente de uma regra financeira comum. Ela não regula apenas as empresas supervisionadas; alcança a sua cadeia de fornecimento. Os fornecedores de nuvem, os operadores de centros de dados e os fornecedores de software considerados críticos para o sistema financeiro podem ser colocados sob supervisão direta a nível da UE. Para um profissional, a consequência prática é que a resiliência já não é algo que se possa externalizar por completo e esquecer. Você continua responsável pelo risco de TIC que os seus prestadores comportam, e tem de prová-lo.
Os cinco pilares na prática
A DORA assenta em cinco pilares, e cada um traduz-se em trabalho concreto de programa em vez de papelada:
- Gestão do risco de TIC. Um quadro de governação a cargo do órgão de administração, que abrange identificação, proteção, deteção, resposta e recuperação dos ativos de TIC. É a espinha dorsal da qual dependem os outros quatro pilares.
- Gestão e comunicação de incidentes. Classificar os incidentes relacionados com as TIC por gravidade e comunicar os mais graves à autoridade competente dentro de um prazo definido. A ênfase está numa taxonomia harmonizada para que os supervisores de toda a UE vejam dados comparáveis.
- Testes de resiliência operacional digital. Um programa de testes regular que vai desde as avaliações de vulnerabilidades até aos testes de penetração baseados em ameaças (TLPT) para as entidades mais significativas, modelados sobre o comportamento real dos adversários.
- Gestão do risco de terceiros de TIC. Salvaguardas contratuais, registos de informação sobre todos os acordos de TIC, estratégias de saída e o regime de supervisão dos prestadores terceiros críticos.
- Partilha de informações. Troca voluntária de informações sobre ciberameaças entre entidades financeiras, incentivada em vez de imposta, para reforçar a defesa coletiva.
A DORA ao lado da NIS 2
A pergunta que os profissionais fazem com mais frequência é como a DORA se relaciona com a NIS 2, uma vez que ambos são instrumentos da UE que tocam a cibersegurança e ambos atingem aproximadamente o mesmo patamar de maturidade. A resposta curta é lex specialis: onde a DORA e a NIS 2 se aplicariam ambas a uma entidade financeira no ângulo das TIC, a DORA prevalece por ser a regra mais específica. A NIS 2 fixa uma base ampla de cibersegurança em muitos setores; a DORA aprofunda a resiliência de TIC do setor financeiro e acrescenta o regime de supervisão de terceiros que a NIS 2 não tem.
| Dimensão | DORA | NIS 2 |
|---|---|---|
| Tipo de instrumento | Regulamento, diretamente aplicável | Diretiva, transposta pelos Estados-Membros |
| Âmbito principal | Entidades financeiras e os seus prestadores de TIC críticos | Entidades essenciais e importantes em muitos setores |
| Foco | Resiliência operacional digital do sistema financeiro | Gestão e comunicação geral do risco de cibersegurança |
| Supervisão de terceiros | Supervisão direta da UE dos prestadores de TIC críticos | Espera-se segurança da cadeia de fornecimento, sem regime de supervisão direta |
| Precedência para o setor financeiro | Prevalece como lex specialis no ângulo das TIC | Cede perante a DORA onde ambas se aplicariam |
No dia a dia, um banco não pode escolher apenas um. Mapeia as suas obrigações e constata que, para o risco de TIC, a comunicação de incidentes e os testes de resiliência, a DORA é o texto que governa, enquanto a NIS 2 ainda pode importar para partes do grupo que ficam fora do âmbito financeiro da DORA. A forma limpa de gerir isto é um único quadro de controlo, muitas vezes ancorado na ISO 27001 e na ISO 22301, que satisfaça ambos os regimes e permita evidenciar a conformidade uma única vez.
Perguntas frequentes
01Desde quando a DORA é aplicável?
A DORA aplica-se desde 17 de janeiro de 2025. Enquanto regulamento da UE, entrou em vigor diretamente, sem necessitar de transposição nacional, pelo que a data é a mesma em todos os Estados-Membros.
02A DORA aplica-se ao meu fornecedor de nuvem?
Pode aplicar-se. Os prestadores terceiros de TIC considerados críticos para o sistema financeiro podem ser designados e colocados sob supervisão direta da UE. Mesmo quando um prestador não é designado, a entidade financeira que o utiliza continua responsável pelo risco de TIC ao abrigo do pilar de terceiros da DORA.
03Em que é que a DORA é diferente da NIS 2?
A NIS 2 é uma diretiva ampla de cibersegurança que abrange muitos setores, transposta a nível nacional. A DORA é um regulamento diretamente aplicável específico para as entidades financeiras, mais profundo em resiliência de TIC e supervisão de terceiros. Para as entidades financeiras, a DORA prevalece no ângulo das TIC enquanto lex specialis.
04O que é o TLPT ao abrigo da DORA?
Os testes de penetração baseados em ameaças são testes avançados, orientados por informações, que imitam as táticas reais dos adversários contra sistemas em produção. A DORA exige-os periodicamente para as entidades financeiras mais significativas, como nível superior do seu pilar de testes de resiliência.
05A DORA substitui o trabalho de continuidade de negócio?
Não, reforça-o. O foco da DORA em permanecer operacional sob tensão, com a recuperação e a continuidade das funções críticas, situa-se naturalmente ao lado da gestão da continuidade de negócio e da norma ISO 22301, em vez de as substituir.