DORA.

DORA significa Digital Operational Resilience Act e designa o Regulamento (UE) 2022/2554 relativo à resiliência operacional digital do setor financeiro. O regulamento aplica-se desde 17 de janeiro de 2025. O seu objetivo é permitir manter e recuperar os serviços financeiros mesmo perante perturbações significativas de TIC. A Comissão Europeia enquadra a prevenção, a limitação dos impactos e a recuperação como partes da mesma tarefa de resiliência.

O DORA vai além da defesa contra ciberataques. As falhas técnicas, os procedimentos de recuperação inutilizáveis e as dependências de serviços externos também podem prejudicar os serviços financeiros. Por isso, é determinante a colaboração entre os responsáveis pelo negócio, a tecnologia e os prestadores. Uma coleção de políticas de segurança, por si só, não demonstra se um processo de pagamento voltará efetivamente a funcionar após uma perturbação.

As normas técnicas de regulamentação e de execução complementares concretizam o regulamento. O registo oficial da Comissão inclui, por exemplo, atos jurídicos sobre notificações de incidentes e subcontratação. Por isso, a implementação exige as regras definitivas aplicáveis e as orientações da autoridade de supervisão competente. Uma lista de verificação antiga ou um calendário geral de notificações não substitui esta análise.

O DORA abrange determinadas entidades jurídicas do setor financeiro nos termos do artigo 2.º do Regulamento (UE) 2022/2554. Incluem-se, por exemplo, instituições de crédito, instituições de pagamento, empresas de investimento e empresas de seguros, considerando em cada caso as exceções legais. A designação FinTech, start-up ou PME não resolve a questão. Na sua resposta final DORA 136–3193, a EIOPA explica que a classificação parte do tipo de entidade jurídica e que as TIC partilhadas não podem ser excluídas apenas com base em atividades individuais.

Um prestador terceiro de serviços de TIC comum tem um papel diferente de uma entidade financeira abrangida. Os clientes financeiros podem exigir compromissos contratuais, apoio em incidentes e evidências sólidas. Importa distinguir isto da designação expressa como prestador terceiro crítico de serviços de TIC pelas autoridades europeias de supervisão segundo o artigo 31.º do DORA. O simples apoio a uma função crítica de um cliente não produz essa designação, como explicam as informações da ESMA sobre o quadro de superintendência.

A proporcionalidade significa definir fundamentadamente as obrigações em função da empresa e dos seus riscos. Não é uma isenção geral para pequenas empresas. O quadro simplificado de gestão do risco associado às TIC segundo o artigo 16.º do DORA deve ser analisado separadamente. Registe em conjunto o papel, as possíveis exceções, a autoridade competente e os fundamentos da classificação antes de determinar a extensão da implementação.

O DORA é demonstrado através de decisões rastreáveis e de uma implementação verificável. Conforme a obrigação aplicável, isto inclui apreciações de riscos, disposições de continuidade, registos de incidentes, resultados de testes e documentação de acordos de TIC. Uma evidência deve permitir identificar a entidade jurídica e a função a que se refere e o que foi efetivamente verificado. Um relatório de teste com problemas em aberto não confirma que esses problemas já foram resolvidos.

As autoridades competentes supervisionam as entidades financeiras no quadro legal, incluindo segundo o artigo 46.º e seguintes do DORA. Distingue-se desta a superintendência europeia dos prestadores terceiros críticos de serviços de TIC expressamente designados segundo os artigos 31.º a 44.º. A ESMA descreve esta superintendência como complemento da responsabilidade própria e da supervisão existente das entidades financeiras. Um certificado DORA geral com validade uniforme não substitui estas relações e obrigações.

Para as entidades financeiras abrangidas, o DORA é, nas áreas relevantes, um ato jurídico setorial da União em relação à NIS2; daqui não resulta uma isenção geral de todas as obrigações do BSIG para qualquer grupo financeiro ou a sua cadeia de fornecimento. A ISO 27001 pode estruturar organizativamente um SGSI, mas não substitui os requisitos DORA nem as suas evidências. As obrigações de proteção de dados segundo o RGPD devem ser avaliadas separadamente, sobretudo quando uma perturbação afeta também dados pessoais.

O Secani contém um catálogo editorial DORA baseado no Regulamento (UE) 2022/2554 com atos jurídicos complementares selecionados. Os dados de perfil distinguem, entre outros, as entidades financeiras confirmadas e os quadros completo e simplificado. Estes dados apoiam um trabalho documentado; não efetuam uma classificação jurídica automática. O catálogo não é uma tradução oficial nem uma confirmação de conformidade com o DORA.

Escolha primeiro uma entidade jurídica relevante e uma função financeira concreta. Reúna a sua classificação, responsabilidades, dependências de sistemas, acordos de serviços e últimos resultados de testes. Verifique depois com os responsáveis que afirmações já estão comprovadas e que decisão é necessária a seguir. O guia detalhado no blogue aprofunda este ponto de partida.