Resiliência operacional: DORA, NIS 2 e ISO 22301 num só lugar.

Por que um programa, e não três

O instinto na maioria das organizações é tratar a ISO 22301, a NIS 2 e a DORA como três projetos de conformidade separados, muitas vezes geridos por três equipas diferentes: continuidade de negócio, operações de segurança, e uma função de regulação financeira ou de risco. Essa é a forma mais cara de o fazer. Acaba-se com três análises de impacto no negócio que discordam sobre quais serviços são críticos, três conjuntos de objetivos de recuperação que ninguém reconcilia, e três calendários de exercícios que esgotam as mesmas pessoas. Os auditores notam as costuras de imediato.

Os referenciais não são concorrentes. A ISO 22301 dá-lhe o sistema de gestão: a análise de impacto no negócio (BIA), os objetivos de tempo de recuperação e de ponto de recuperação, os planos de continuidade e de recuperação, os exercícios, e o ciclo de revisão pela gestão. A NIS 2 e a DORA não substituem nada disso. Acrescentam obrigações por cima, sobretudo em torno da notificação de incidentes, da garantia da cadeia de fornecimento, e (no caso da DORA) de um regime de testes específico. Se o seu BCMS estiver bem construído, as camadas regulatórias encaixam nele em vez de o duplicarem.

Construa primeiro a espinha dorsal. O curso ISO 22301 Lead Implementer é o que lhe ensina a implementar o sistema de gestão do qual tudo o resto depende; se apenas precisar de compreender a estrutura e o vocabulário, comece pelo curso ISO 22301 Foundation.

O que cada referencial acrescenta de facto

A forma honesta de ler os três é como um núcleo operacional único mais duas camadas regulatórias. A ISO 22301 é o núcleo porque é o único dos três que prescreve como construir e manter a própria capacidade de continuidade. A NIS 2 e a DORA presumem que essa capacidade existe e depois impõem deveres por cima: a quem tem de comunicar quando algo falha, com que rapidez, e como tem de provar que a capacidade funciona.

Leia a tabela de cima para baixo e o desenho torna-se óbvio. Implementa-se a ISO 22301 uma vez. A NIS 2 e a DORA dizem-lhe depois que evidências o regulador quer ver desse único sistema, e a DORA acrescenta uma disciplina de testes que vai além dos exercícios de tabletop que a ISO 22301 espera.

Como funciona nas operações

Em termos do dia a dia, a integração vive em três artefactos, e acertar neles é a maior parte do trabalho. O primeiro é um catálogo de serviços e uma BIA únicos e autoritativos. Decida uma vez quais serviços são críticos, qual a sua tolerância à disrupção, e do que dependem. Cada referencial passa então a ler dessa única fonte. Se o seu âmbito NIS 2 e a sua lista de funções críticas ou importantes da DORA discordarem da sua BIA ISO 22301, já perdeu o argumento da auditoria antes mesmo de começar.

O segundo é um pipeline de incidentes unificado. A ISO 22301 quer que detete, responda e acione os planos de continuidade. A NIS 2 e a DORA querem que notifique, dentro do prazo, uma autoridade competente. Construa um único processo de deteção e triagem cujo resultado alimente tanto a resposta de continuidade interna como o fluxo de notificação regulatória. O relógio da notificação começa no momento da tomada de conhecimento, pelo que o estrangulamento raramente é o plano de continuidade; é a decisão de saber se um evento é notificável e a rapidez de redação da notificação precoce. Modelos de notificação pré-redigidos e um responsável claro pela escalada valem mais aqui do que qualquer ferramenta.

O terceiro artefacto é o programa de testes e exercícios, e é aqui que a DORA pressiona com mais força. Os exercícios da ISO 22301 validam os planos; a DORA exige um programa de testes documentado e, para as entidades significativas, testes de penetração orientados por ameaças num ciclo plurianual. O curso DORA Lead Manager cobre o regime de testes e o registo de terceiros TIC com a profundidade que a regulação exige, enquanto o curso Lead Operational Resilience Manager é o que foi concebido especificamente para conduzir os três referenciais como um único programa.

A decisão: certificar, alinhar, ou ambos

Uma pergunta comum é se precisa de certificação ISO 22301 para satisfazer a NIS 2 ou a DORA. Não precisa. Nenhuma das regulações exige o certificado. Mas a norma é o modelo mais amplamente reconhecido para a capacidade que ambas as regulações presumem, pelo que a maioria das equipas alinha-se à ISO 22301 mesmo quando opta por não se certificar. A decisão divide-se de forma clara: alinhe-se à ISO 22301 para obter um BCMS coerente e defensável; certifique-se por cima apenas se um cliente, um concurso, ou um conselho de administração quiser garantia de terceiros sobre ele.

Se de facto procurar o certificado, compreenda a perspetiva da auditoria de ambos os lados da mesa. Os implementadores constroem o sistema; os auditores testam se ele se sustenta.

Para conduzir a auditoria de certificação (interna ou como organismo de certificação), o curso ISO 22301 Lead Auditor ensina a metodologia de auditoria e como avaliar um BCMS face à norma, o que é também a forma mais rápida de aprender com base em que evidências o seu próprio programa será julgado.

Onde os programas correm mal

As falhas recorrentes são previsíveis, e quase todas vêm de tratar os referenciais como separados em vez de em camadas.

1. Três BIAs que discordam. Continuidade, segurança e finanças definem cada uma a criticidade de forma diferente. Resolva-se exigindo uma única BIA que as três funções subscrevam.
2. Planos que passam no exercício mas falham no evento. Exercícios de tabletop que percorrem uma apresentação de slides não provam nada. Teste o acionamento, não a narração: faça de facto o failover, restaure de facto a partir de backup, contacte de facto as pessoas na árvore de chamadas.
3. Confundir as funções de continuidade, recuperação e resposta a incidentes. A continuidade de negócio mantém o serviço a funcionar, a recuperação de desastres restaura a tecnologia, e a resposta a incidentes contém a causa. São disciplinas distintas que devem fazer a passagem de testemunho de forma limpa.
4. Falhar o relógio da notificação. O plano de continuidade funcionou mas ninguém apresentou o alerta precoce a tempo. A notificação regulatória é uma obrigação separada, com prazo definido, e precisa do seu próprio responsável.
5. Tratar a gestão de crises como algo secundário. Quando um incidente escala, o ponto de falha é a tomada de decisão, não a recuperação técnica.

Duas dessas falhas têm remédios dedicados. O curso Lead Disaster Recovery Manager separa a recuperação tecnológica da continuidade de negócio para que deixem de ser confundidas, e o curso Certified Lead Crisis Manager constrói a estrutura de comando, de comunicação e de decisão que se sustenta quando um incidente se torna uma crise.

A realidade da sala de auditoria

O que um avaliador de qualquer um dos três referenciais realmente sonda é se a sua resiliência é real ou de papel. Pedirão a BIA e depois perguntarão quem a aprovou e quando foi revista pela última vez. Pedirão o seu último exercício e depois perguntarão o que falhou e o que mudou em consequência, porque um exercício sem constatações é um sinal de alerta, não um atestado de saúde. Para as entidades DORA, pedirão o programa de testes e o registo de terceiros e esperarão que ambos estejam atualizados, não reconstruídos na semana anterior.

As equipas que passam com tranquilidade são as que conduzem um único programa: uma BIA, um pipeline de incidentes que alimenta tanto a resposta interna como a notificação regulatória, um calendário de exercícios que de facto quebra coisas, e um mapeamento de controlos que lhes permite responder a três reguladores a partir da mesma base de evidências. Construa a espinha dorsal da ISO 22301 corretamente, sobreponha-lhe deliberadamente as obrigações da NIS 2 e da DORA, e a expressão que deve descrever as suas auditorias é mapear uma vez, auditar três vezes.