Maurice Müller
Senior Content Manager
Maurice Müller é jornalista e estratega de conteúdos com experiência em meios de comunicação impressos e digitais. Na Formalize, transforma temas complexos relacionados com a conformidade e a regulamentação em conteúdos claros e práticos para profissionais das áreas da conformidade, do risco e da segurança em toda a Europa.
Conclusões principais:
O DORA é diretamente aplicável desde 17 de janeiro de 2025. Por se tratar de um regulamento e não de uma diretiva, não necessita de transposição para o direito nacional.
Assenta em cinco pilares: gestão de riscos das TIC, comunicação de incidentes, testes de resiliência, gestão de riscos de terceiros e partilha de informações.
O DORA aplica-se diretamente às entidades financeiras e abrange indiretamente a maioria dos prestadores de serviços de TIC de terceiros, através das obrigações que essas entidades têm de cumprir.
Todas as 13 normas técnicas de apoio ao DORA (RTS e ITS) estão agora finalizadas e em vigor, completando o quadro de Nível 2 do regulamento.
A aplicação é assegurada pelas autoridades nacionais competentes no que diz respeito às entidades financeiras e através de um quadro de supervisão específico a nível da UE para os prestadores designados como críticos.
Em dezembro de 2024, um mês antes do início da aplicação do DORA, as Autoridades Europeias de Supervisão (ESAs) publicaram os resultados de um teste voluntário do Registo de Informação. Participaram quase 1 000 entidades financeiras. Dos registos analisados, apenas 6,5 % passaram nas 116 verificações de qualidade dos dados. O exercício decorreu numa base de «melhor esforço possível» e metade dos restantes registos falhou em menos de cinco verificações, pelo que as Autoridades Europeias de Supervisão mostraram-se cautelosamente otimistas. Ainda assim, o problema mais comum foi revelador: 86 % dos erros resumiram-se à falta de informação obrigatória.
Trata-se de uma perspetiva útil para o DORA no seu conjunto. As regras já são bem compreendidas. O que determina o desenrolar de um ciclo de supervisão é se os dados, os processos e as evidências de uma organização conseguem acompanhar essas regras, ciclo após ciclo.
O que é o DORA?
O Regulamento DORA, formalmente o Regulamento (UE) 2022/2554, constitui o quadro da UE para a resiliência operacional digital no setor financeiro. A UE introduziu-o para harmonizar o que até então era um mosaico de regras nacionais sobre os riscos das tecnologias da informação e da comunicação (TIC), substituindo expectativas inconsistentes por um regulamento diretamente aplicável em todos os Estados-Membros.
No entanto, a cibersegurança, por si só, não abrange tudo isto. O DORA diz respeito à capacidade de uma organização para resistir, responder e recuperar de perturbações nas TIC, o que reúne a governação, a continuidade de atividades e a gestão de riscos das TIC numa única estrutura de responsabilização, em vez de as tratar como questões separadas. Como o DORA é um regulamento e não uma diretiva, é diretamente aplicável. Não há de esperar por nenhuma lei nacional e não há margem para que um Estado-Membro dilua os seus requisitos.
A quem se aplica o DORA?
O artigo 2.º define o âmbito de aplicação do DORA, abrangendo diretamente um vasto leque de entidades financeiras e atingindo indiretamente os prestadores de serviços de TIC através das próprias obrigações dessas entidades.
Categoria de entidade | Exemplos | Como o DORA se aplica |
|---|---|---|
Banca e pagamentos | Instituições de crédito, instituições de pagamento, instituições de moeda eletrónica, prestadores de serviços de informação sobre contas | Diretamente, enquanto entidade financeira |
Investimento e mercados | Empresas de investimento, plataformas de negociação, contrapartes centrais, depositários centrais de valores mobiliários, repositórios de transações, prestadores de serviços de comunicação de dados | Diretamente, enquanto entidade financeira |
Seguros e pensões | Empresas de seguros e de resseguros, intermediários de seguros, instituições de realização de planos de pensões profissionais | Diretamente, enquanto entidade financeira |
Gestão de ativos e de fundos | Gestores de fundos de investimento alternativos, sociedades gestoras de OICVM | Diretamente, enquanto entidade financeira |
Cripto-ativos | Prestadores de serviços de cripto-ativos, emitentes de fichas referenciadas a ativos | Diretamente, enquanto entidade financeira |
Outros serviços financeiros | Prestadores de serviços de financiamento colaborativo, agências de notação de risco de crédito, administradores de índices de referência críticos, repositórios de titularização | Diretamente, enquanto entidade financeira |
Terceiros prestadores de serviços TIC | Fornecedores de serviços na nuvem, de software e de infraestrutura que servem entidades financeiras | Indiretamente, através de requisitos contratuais que as entidades financeiras têm de impor |
Algumas entidades de menor dimensão e menos interligadas, tais como as pequenas empresas de investimento não interligadas, podem aplicar um quadro simplificado de gestão de riscos de TIC ao abrigo do artigo 16.º. No entanto, os princípios básicos continuam a aplicar-se: um quadro documentado, monitorização, continuidade das atividades e formação de sensibilização.
Entre os prestadores de serviços de TIC de terceiros, um grupo mais restrito está sujeito a uma regulamentação mais rigorosa: os prestadores de serviços de TIC críticos de terceiros (CTPP), designados individualmente pelas Autoridades Europeias de Supervisão (ESAs) e colocados sob supervisão direta a nível da UE, em vez de seguirem a via indireta a que todos os outros prestadores estão sujeitos.
A NIS2 abrange um leque igualmente vasto de entidades em setores críticos. No entanto, no que diz respeito às entidades financeiras, o DORA tem precedência enquanto regulamentação setorial específica para a gestão de riscos de TIC e para a notificação de incidentes. Os prestadores de serviços de TIC constituem um caso à parte: podem estar abrangidos pela NIS2 por direito próprio, ao mesmo tempo que prestam serviços a entidades financeiras ao abrigo do DORA.
Quais são os 5 pilares do Regulamento DORA?
Cinco pilares estruturam todos os requisitos do DORA e estão mais interligados do que possa parecer à primeira vista: um ponto fraco num deles tende a revelar-se como uma lacuna noutro.
Gestão de riscos nas TIC
As entidades financeiras necessitam de um quadro documentado para identificar, prevenir, detetar, responder e recuperar de riscos relacionados com as TIC, e esse quadro tem de funcionar na prática, não apenas no papel. O órgão de gestão é o último responsável por esse quadro. O quadro também tem de definir a forma como os riscos relacionados com terceiros no domínio das TIC são identificados e monitorizados.
Gestão e comunicação de incidentes relacionados com as TIC
Os incidentes graves relacionados com as TIC têm de ser classificados de acordo com critérios harmonizados e comunicados à autoridade competente em três fases. A notificação inicial deve ser efetuada no prazo de quatro horas após a classificação de um incidente como grave e, o mais tardar, 24 horas após a sua deteção. Segue-se um relatório intermédio no prazo de 72 horas após a notificação inicial e um relatório final no prazo de um mês a contar do último relatório intermédio.
Testes de resiliência operacional digital
As entidades financeiras têm de verificar se os seus sistemas de TIC e os seus controlos de resiliência se revelam eficazes na prática. Para a maioria das entidades, isso implica um programa de testes regular. As entidades identificadas pela sua autoridade competente têm também de realizar testes de penetração orientados para ameaças (TLPT) pelo menos de três em três anos, em sistemas de produção ativos e com base em informações reais sobre ameaças.
Gestão de riscos de terceiros no domínio das TIC
Para muitas organizações, este é o pilar mais exigente. As entidades financeiras necessitam de contratos que incluam cláusulas exigidas pelo DORA, abrangendo áreas como direitos de auditoria, localização dos dados e estratégias de saída, bem como uma avaliação contínua do risco de concentração em toda a sua base de fornecedores.
No centro de tudo isto está o Registo de Informação (RoI). Nos termos do artigo 28.º, n.º 3, as entidades financeiras devem manter e atualizar um registo de todos os acordos contratuais com prestadores de serviços de TIC terceiros, no formato normalizado estabelecido nas normas técnicas de execução, e disponibilizá-lo à sua autoridade competente. As autoridades de supervisão recolhem o registo uma vez por ano, com data de referência a 31 de dezembro e prazos nacionais de apresentação no primeiro trimestre. Para uma análise mais aprofundada do conteúdo do registo e de como mantê-lo atualizado, consulte a nossa página sobre o Registo de Informação.
Partilha de informações e dados de inteligência
O DORA permite também que as entidades financeiras partilhem entre si informações e dados de inteligência sobre ameaças cibernéticas, no âmbito de comunidades de confiança. A participação é voluntária e o objetivo é ajudar o setor a responder a ameaças que raramente se limitam a uma única organização.
Calendário do Regulamento DORA: datas importantes que as organizações devem conhecer
Data | Marco |
|---|---|
27 de dezembro de 2022 | O DORA é publicado no Jornal Oficial da UE |
16 de janeiro de 2023 | O DORA entra em vigor, dando início a um período de preparação de dois anos |
2023–2024 | As AES elaboram e submetem a consulta as 13 normas técnicas de regulamentação e de execução (RTS e ITS) do DORA, divulgadas em dois lotes |
17 de janeiro de 2025 | O DORA passa a ser plenamente aplicável em todos os Estados-Membros da UE |
Fevereiro–julho de 2025 | O segundo lote de RTS e ITS entra em vigor, incluindo as normas relativas à comunicação de incidentes, à harmonização da supervisão, à subcontratação e aos TLPT |
18 de novembro de 2025 | As AES designam os primeiros 19 terceiros prestadores de serviços TIC críticos (CTPP) ao abrigo do artigo 31.º, n.º 9 |
4 de dezembro de 2025 | As AES aconselham a Comissão, num relatório conjunto, de que, nesta fase, não se justifica incluir os auditores no âmbito de aplicação do DORA |
17 de janeiro de 2026 | Prazo para a revisão da Comissão Europeia sobre se os auditores devem ser abrangidos pelo âmbito de aplicação do DORA, nos termos do artigo 58.º, n.º 3 |
Sanções e consequências da não conformidade com o DORA
A aplicação da lei é da competência das autoridades nacionais competentes, que supervisionam diretamente as entidades financeiras e podem aplicar as sanções administrativas e as medidas corretivas estabelecidas por cada Estado-Membro. Ao contrário do Regulamento Geral sobre a Proteção de Dados (RGPD), o DORA não estabelece uma coima máxima a nível da UE para as entidades financeiras: o artigo 50.º remete a fixação dos montantes para a legislação nacional. A aplicação da lei também não se limita às coimas. Medidas de supervisão, ações corretivas obrigatórias e um escrutínio mais rigoroso fazem parte do conjunto de instrumentos disponíveis e, para muitas organizações, os custos reputacionais e operacionais decorrentes de uma atenção reforçada por parte das autoridades de supervisão podem superar o valor da própria coima.
Os prestadores de serviços de TIC críticos estão sujeitos a um mecanismo totalmente distinto. São supervisionados diretamente a nível da UE, e não através de uma autoridade nacional. Se um prestador não cooperar com a sua Autoridade Supervisora Principal — por exemplo, ao deixar pedidos de informação sem resposta, ao obstruir investigações ou inspeções, ou ao não comunicar as medidas corretivas que tomou —, a Autoridade Supervisora Principal pode impor sanções pecuniárias periódicas ao abrigo do artigo 35.º. Estas são cobradas diariamente até que o prestador cumpra as suas obrigações, por um período não superior a seis meses, e podem atingir até 1 % do volume de negócios médio diário mundial do prestador no ano civil anterior. Ao fixar o montante, a Autoridade de Supervisão Principal tem em conta a gravidade e a duração do incumprimento, se este foi intencional ou por negligência, e o grau de cooperação do prestador.
As recomendações de supervisão funcionam de forma diferente. Se um prestador não as cumprir, o supervisor principal pode tornar esse facto público e, como último recurso, as autoridades competentes podem exigir que as entidades financeiras suspendam ou cessem a utilização dos serviços desse prestador.
Notícias e últimas atualizações sobre o DORA
Última atualização: setembro de 2026
Todos os 13 RTS e ITS estão agora em vigor
O segundo lote, que abrange a comunicação de incidentes, a harmonização da supervisão, a subcontratação e os testes de penetração orientados por ameaças, concluiu a sua adoção até 2025. O que mudou: o quadro de Nível 2 do DORA, as normas técnicas detalhadas subjacentes ao próprio regulamento, está agora completo, em vez de se encontrar parcialmente em fase de rascunho. Quem é afetado: todas as entidades financeiras que ainda tratam qualquer parte do DORA como orientação pendente, em vez de um requisito finalizado. O que fazer: confirme se o seu programa de conformidade reflete o texto final e adotado de cada norma, e não um rascunho de consulta anterior.
As primeiras designações do CTPP já estão em vigor, e 2026 marca o início do primeiro ciclo de supervisão
As Autoridades de Supervisão Europeias designaram 19 prestadores terceiros de TIC críticos em novembro de 2025, na sua maioria grandes prestadores de serviços de nuvem, infraestruturas e dados. O que mudou: esses 19 prestadores estão agora sob supervisão direta a nível da UE, prevendo-se que as primeiras atividades de supervisão e recomendações tenham lugar durante 2026. Quem é afetado: entidades financeiras que dependem de qualquer um dos prestadores designados. A supervisão a nível da UE sobre o prestador não diminui a sua própria responsabilidade na gestão dessa relação. O que fazer: verifique o seu Registo de Informação em relação à lista de CTPP publicada e tenha em conta os prestadores designados na sua própria avaliação do risco de concentração.
Auditores e o DORA: as AES desaconselham o alargamento do âmbito de aplicação
Nos termos do artigo 58.º(3), a Comissão Europeia tinha até 17 de janeiro de 2026 para analisar se os revisores oficiais de contas e as sociedades de revisores oficiais de contas deveriam ser incluídos no âmbito de aplicação do DORA. O que mudou: no seu relatório conjunto de dezembro de 2025, as Autoridades Europeias de Supervisão concluíram que a inclusão dos auditores no DORA não se justifica nesta fase. A conclusão da própria Comissão é que, em última análise, prevalece e, à data da redação do presente documento, os auditores continuam fora do âmbito de aplicação do DORA. Quem é afetado: auditores e redes de auditoria que prestam serviços a entidades financeiras. O que fazer: considerar esta questão como uma questão de âmbito de aplicação a acompanhar, e não como algo que exija ação imediata.
Como implementar a conformidade com a DORA na prática
Compreender a regulamentação e aplicá-la no dia-a-dia são duas coisas diferentes. Esta é a sequência que a maioria das organizações precisa, de facto, seguir:
Confirmar o âmbito do DORA: Determinar qual a categoria de entidade aplicável e se o regime simplificado está disponível.
Identificar funções críticas e importantes: Os restantes requisitos do DORA articulam-se em torno desta lista, pelo que defini-la corretamente desde o início evita ter de refazer o trabalho mais tarde.
Mapear os ativos e as dependências das TIC: Estabelecer ligações entre sistemas, fornecedores e funções empresariais antes de tentar avaliar o risco associado a qualquer um deles.
Avaliar o quadro de gestão de riscos das TIC: Comparar o que está documentado com o exigido pelos artigos 5.º a 16.º.
Estabelecer fluxos de trabalho para a gestão de incidentes: Integrar a classificação e a comunicação de incidentes num processo, e não num documento que alguém só abre quando algo falha.
Criar e manter o Registo de Informação: Trate-o como dados operacionais dinâmicos, e não como um exercício anual de exportação de dados.
Estabelecer o programa de testes de resiliência: Defina o âmbito, o calendário e as evidências dos testes de forma recorrente, incluindo o TLPT, quando aplicável.
Monitorizar e manter a conformidade: Reveja todos os pontos acima à medida que os fornecedores, os sistemas e as expectativas de supervisão forem mudando.
Os passos 3 e 6 tendem a ser os mais demorados, em grande parte porque dependem de dados dispersos pelas áreas de aquisições, TI e unidades de negócio. O Formalize mantém o quadro de riscos de TIC, os fluxos de trabalho de incidentes, os calendários de testes, o registo de terceiros e os controlos subjacentes a tudo isto num único local, a par do seu trabalho relativo à ISO 27001 e à NIS2, em vez de os dispersar por folhas de cálculo e ferramentas separadas. O Registo de Informação mantém-se atualizado à medida que os contratos e os fornecedores mudam, em vez de ter de ser reconstruído do zero a cada ciclo de relatório.
Como o Formalize apoia a conformidade com o DORA
O Formalize foi concebido para a parte recorrente do DORA: manter os dados e as evidências atualizados entre ciclos, em vez de os ter de recriar de cada vez.
Um Registo de Informação que se mantém atualizado. Fornecedores, contratos, serviços de TIC e funções empresariais permanecem interligados, os erros são assinalados no momento da introdução dos dados e o registo é exportado no formato oficial. Mais informações na página do Registo de Informação.
Um Validador do Registo de Informação gratuito. Realiza 294 verificações em todos os 15 relatórios no formato oficial, sem necessidade de registo, quer utilize ou não o Formalize.
Riscos, incidentes e testes num único local. Cada um com responsáveis designados, prazos e provas anexadas à medida que o trabalho avança.
O DORA a par da ISO 27001, NIS2 e RGPD, no mesmo sistema, em vez de ferramentas separadas.
Mais de 8 000 organizações em toda a Europa já utilizam os produtos da Formalize.
Certifique-se de que o seu Registo de Informações se mantém atualizado
Traga a sua própria lista de fornecedores, incluindo a folha de cálculo. Preferimos mostrar-lhe como ela se integra no resto do seu trabalho no DORA do que apenas descrevê-la.
Onde é possível descarregar o PDF do Regulamento do DORA?
No que diz respeito ao próprio regulamento, o EUR-Lex é a fonte oficial. Os resumos secundários são úteis para orientação, mas o texto publicado no Jornal Oficial é o que tem valor jurídico.
No entanto, o regulamento, por si só, não dá uma visão completa da situação. As 13 normas técnicas regulamentares (RTS) e as normas técnicas de implementação (ITS) acima referidas preenchem os pormenores operacionais que o DORA não especifica, e as orientações das Autoridades de Supervisão Europeias continuam a esclarecer a forma como as autoridades de supervisão esperam que os requisitos sejam cumpridos na prática. A implementação baseada apenas no texto do regulamento, sem as normas técnicas de apoio, tende a omitir precisamente os pormenores sobre os quais as autoridades de supervisão irão questionar em primeiro lugar.