O que é o Regulamento DORA? Explicação da Lei de Resiliência Operacional Digital da UE

O regulamento DORA — a Lei de Resiliência Operacional Digital — é a legislação da UE sobre resiliência cibernética para o setor financeiro. Indica às instituições financeiras como gerir a cibersegurança e o risco de TI. Em termos simples, todos os bancos, empresas de pagamentos, empresas de investimento, seguradoras e corretoras de criptoativos da UE devem conseguir continuar a operar perante um ataque informático, uma indisponibilidade da cloud ou uma atualização de software defeituosa, bem como supervisionar os fornecedores de TI de que dependem.

Este guia destina-se a pessoas sem formação jurídica ou em TI. Explica a quem se aplica o DORA, o que exige, com que rapidez um incidente deve ser comunicado, em que difere da NIS2 e do GDPR, quais são as sanções e o que os requisitos DORA significam para empresas fintech e de criptoativos, terminando com uma breve lista de verificação de conformidade com o DORA.

O que é o DORA em termos simples?

DORA — também designado por DORA da UE ou Lei DORA — é o Regulamento (UE) 2022/2554 relativo à resiliência operacional digital do setor financeiro. «Resiliência operacional digital» parece complexo, mas significa uma coisa: a sua empresa consegue continuar a prestar serviços aos clientes quando algo corre mal na sua TI? Se um hacker entra, uma atualização falha ou um fornecedor fica indisponível, os pagamentos continuam a ser processados, os clientes ainda conseguem iniciar sessão e os seus dados mantêm-se seguros? O DORA transforma essa questão de boa prática em obrigação legal.

Antes do DORA, cada país da UE e cada segmento do setor financeiro tinha regras próprias de segurança de TI e formulários próprios de incidentes. O DORA substitui essa fragmentação por um conjunto único de regras para todo o setor financeiro da UE. Por ser um regulamento, e não uma diretiva, aplica-se literalmente em todos os Estados-Membros — não é necessária legislação nacional para o pôr em vigor.

O prazo de conformidade com o DORA já passou. O período de preparação de dois anos após a adoção terminou, todas as obrigações DORA estão em vigor e os reguladores financeiros nacionais estão a verificá-las. O quadro DORA assenta em cinco pilares, explicados no restante guia:

• gestão do risco de ICT — um plano escrito para o risco de TI, sob responsabilidade do órgão de gestão (o conselho de administração);
• gestão e comunicação de incidentes relacionados com ICT — identificação, registo e comunicação de incidentes de TI ao supervisor;
• testes de resiliência operacional digital — desde análises regulares de vulnerabilidades até simulações completas de ataques por «red team»;
• gestão do risco de terceiros de ICT — controlo dos fornecedores de TI de que a empresa depende, com um registo de todos eles;
• partilha de informações — intercâmbio voluntário de informações sobre ameaças entre entidades financeiras.

Conceitos-chave do DORA explicados

Alguns termos definidos surgem em todos os artigos do regulamento DORA, formulários de supervisão e contratos com fornecedores. Depois de os conhecer, o restante texto torna-se muito mais fácil de ler.

A quem se aplica o DORA?

O âmbito do DORA é definido pelo artigo 2.º, que enumera vinte categorias de entidades financeiras. Se uma instituição financeira detiver uma destas licenças em qualquer parte da UE, está abrangida — independentemente da sua dimensão — salvo se for aplicável uma isenção específica. Os principais grupos são os seguintes.

E as próprias empresas de TI? As plataformas de cloud, centros de dados, fornecedores de software e empresas de segurança gerida não são entidades financeiras, mas o DORA alcança-as de duas formas. Primeiro, cada entidade financeira deve incluir condições contratuais ao estilo DORA nos contratos com essas empresas; por isso, um fornecedor que recuse arrisca-se a perder o cliente. Segundo, os maiores fornecedores — grandes empresas de cloud, centros de dados, telecomunicações e software financeiro — são designados prestadores terceiros críticos de serviços de ICT e supervisionados diretamente a nível da UE; a lista é atualizada todos os anos.

O DORA aplica-se a empresas não pertencentes à UE? Diretamente, apenas a empresas licenciadas na UE — incluindo filiais e sucursais na UE de grupos do Reino Unido, dos EUA ou asiáticos. Indiretamente, alcança qualquer fornecedor estrangeiro que preste serviços a uma empresa financeira da UE, porque as cláusulas contratuais obrigatórias se aplicam independentemente da sede do fornecedor. Um prestador não pertencente à UE designado como crítico deve criar uma filial na UE no prazo de doze meses.

Por fim, o DORA é proporcional: as obrigações aumentam com a dimensão e a complexidade da instituição financeira. As microempresas — menos de dez trabalhadores e menos de dois milhões de euros de volume de negócios ou balanço — ficam dispensadas de vários requisitos, incluindo testes de penetração orientados por ameaças e alguns deveres de governação e comunicação. Um grupo definido de empresas menores, como pequenas empresas de investimento não interligadas e certas instituições de pagamento e de moeda eletrónica isentas, segue um quadro simplificado de gestão do risco de ICT previsto no artigo 16.º. Ser pequena não exclui uma empresa licenciada do DORA; apenas reduz os encargos.

Requisitos DORA: explicação dos cinco pilares

Os requisitos de conformidade com o DORA dividem-se em cinco grupos. Em conjunto, formam um ciclo — prevenir, detetar, responder, recuperar, aprender — e o regulador espera provas em cada etapa.

Quadro de gestão do risco de ICT (artigos 5.º–16.º)

Em termos simples: saiba que TI possui, saiba o que pode correr mal e tenha um plano escrito para a proteger e recuperar. O quadro deve listar ativos e dependências de TI, indicar como a empresa previne e deteta problemas, como responde e recupera, e como aprende com incidentes. É revisto pelo menos uma vez por ano e após cada incidente grave. O órgão de gestão aprova-o, decide qual o nível de risco aceitável e disponibiliza o orçamento. As funções críticas devem ser mapeadas, as cópias de segurança devem ser efetivamente testadas e deve existir um plano de continuidade de TI articulado com o plano geral de continuidade da empresa.

Comunicação de incidentes: os prazos de 4 horas, 72 horas e um mês

Todos os incidentes relacionados com ICT devem ser registados e classificados segundo os mesmos critérios em toda a UE: quantos clientes foram afetados, quão gravemente foi prejudicada a reputação da empresa, quanto tempo durou, até onde se propagou, que dados se perderam, quão crítico era o serviço e quanto dinheiro estava em causa. Um incidente que ultrapasse os limiares é «grave» e deve ser comunicado ao supervisor em três etapas: uma notificação inicial no prazo de quatro horas após decidir que é grave (e nunca depois de 24 horas após a empresa tomar conhecimento), um relatório intercalar no prazo de 72 horas após a notificação inicial e um relatório final no prazo de um mês após o intercalar. Os clientes cujo dinheiro ou dados sejam afetados devem ser informados sem demora. Ameaças cibernéticas graves que ainda não se tenham transformado em incidentes podem ser comunicadas voluntariamente.

Testes de resiliência e testes de penetração orientados por ameaças (TLPT)

Os testes de resiliência operacional digital constituem um programa anual: cada sistema que suporte uma função crítica ou importante deve passar por análises de vulnerabilidades, análises de lacunas, revisões de código-fonte, testes de cenários, testes de desempenho e testes de penetração. As empresas que o supervisor considere significativas — pela sua dimensão ou pelo impacto da sua falha — devem ainda realizar testes de penetração orientados por ameaças pelo menos a cada três anos. Trata-se de um ataque controlado a sistemas em produção por hackers éticos qualificados, seguindo um quadro reconhecido. As microempresas e as empresas abrangidas pelo quadro simplificado estão isentas de TLPT e realizam testes segundo um calendário mais leve, baseado no risco.

Risco de terceiros, externalização e registo de informações

Externalizar TI — para um prestador de serviços de cloud ou qualquer outro — não externaliza a responsabilidade. A gestão do risco de terceiros de ICT começa com uma estratégia escrita para o risco de fornecedores; a empresa deve avaliar os fornecedores antes de contratar, evitar depender excessivamente de um único prestador e manter um registo de informações — uma lista estruturada de todos os contratos de TI — enviado ao supervisor pelo menos uma vez por ano. Os próprios contratos devem conter um conjunto fixo de cláusulas: qual é o serviço e qual o nível prometido, onde os dados são armazenados, o direito de inspeção e auditoria, o dever de assistência durante incidentes, como o contrato pode terminar e como a empresa migraria para outro prestador se fosse necessário. A empresa continua plenamente responsável, mesmo quando o fornecedor é um prestador crítico supervisionado a nível da UE.

Partilha de informações sobre ciberameaças

As entidades financeiras podem trocar informações sobre ameaças — padrões de ataque e indicadores de comprometimento — em grupos de confiança. Ninguém é obrigado a aderir, mas uma empresa que o faça deve informar o seu supervisor, e o intercâmbio deve respeitar as regras de confidencialidade e proteção de dados.

DORA vs NIS2 vs GDPR: como as regras se articulam

Três leis da UE sobrepõem-se em matéria de resiliência cibernética e comunicação de incidentes, e muitas instituições financeiras estão sujeitas a mais de uma. A tabela mostra quem cada uma abrange e como diferem os prazos de comunicação.

Na prática, uma empresa financeira comunica incidentes de TI ao seu supervisor financeiro, e não à agência nacional de cibersegurança. O GDPR aplica-se em paralelo: se um ciberataque expuser dados de clientes, a empresa comunica-o duas vezes — ao abrigo do DORA ao supervisor financeiro e ao abrigo do GDPR à autoridade de proteção de dados — segundo dois prazos distintos.

DORA e criptoativos: o que significa para CASPs e emitentes de tokens

Para empresas de criptoativos, o regulamento DORA e o quadro MiCA funcionam em conjunto. O MiCA decide quem pode prestar serviços de criptoativos ou emitir tokens na UE; o DORA determina como deve ser operada a tecnologia subjacente a esses serviços. Um prestador de serviços de criptoativos autorizado ao abrigo do MiCA é uma entidade financeira para efeitos do DORA desde o momento em que a sua licença é concedida, tal como qualquer emitente de tokens referenciados a ativos. O próprio MiCA remete para o DORA quanto aos requisitos de TI e segurança, pelo que todos os supervisores interpretam ambos em conjunto.

Na prática, a resiliência é verificada durante o próprio processo de licenciamento, não apenas posteriormente. Quando um supervisor analisa um pedido de CASP, o quadro de risco de TI, o plano de continuidade de atividade, os procedimentos de incidentes e os acordos de externalização fazem parte do processo, e o DORA é o critério utilizado para os avaliar. Uma corretora ou custodiante de criptoativos não pode obter — nem manter — a sua licença com um plano de resiliência que exista apenas no papel.

As empresas de criptoativos têm também dependências de TI que um banco não tem: custódia de chaves privadas, fornecedores de nós de blockchain, infraestrutura de carteiras de terceiros, componentes de contratos inteligentes e mercados que negoceiam 24 horas por dia sem janela de manutenção. Ao abrigo do DORA, cada um destes elementos é um ativo de TI ou uma relação com fornecedor que deve ser listado, classificado, contratado e testado. É também assim que fornecedores não licenciados de alojamento, gestão de chaves ou infraestrutura blockchain acabam por cumprir o DORA: através dos contratos dos seus clientes.

Sanções, coimas e penalidades DORA por incumprimento

Não existe uma tabela única de sanções DORA para toda a UE. Em vez disso, o artigo 50.º determina que cada Estado-Membro estabeleça sanções «efetivas, proporcionadas e dissuasivas» e confere aos supervisores poder para exigir documentos, realizar inspeções, ordenar correções e publicar advertências. A autoridade competente nacional de cada Estado-Membro aplica-as ao abrigo da legislação de licenciamento do respetivo setor; por isso, um banco, uma empresa de pagamentos e uma corretora de criptoativos enfrentam cada qual a escala de sanções do seu setor.

Pode ter visto uma «coima DORA» de um por cento da média do volume de negócios diário mundial. O valor é real, mas destina-se a outra pessoa: é a penalidade diária que as Autoridades Europeias de Supervisão podem aplicar a um prestador terceiro crítico de serviços de ICT que ignore uma decisão de supervisão, durante um máximo de seis meses. Não é uma coima para bancos ou empresas de criptoativos. Os «2% do volume de negócios anual» por vezes mencionados não constam igualmente do DORA: resultam da NIS2, na qual constituem o limite mínimo que os países devem fixar para entidades essenciais. Para uma empresa financeira, as consequências realistas são:

• medidas de supervisão — ordens para corrigir problemas, limitações de atividades e, em casos graves, suspensão ou perda da licença;
• coimas administrativas ao abrigo da legislação nacional do setor;
• responsabilidade pessoal dos membros do conselho de administração, porque o DORA torna o conselho responsável pelo quadro de TI;
• responsabilidade penal nos países que tenham optado por a prever, como o artigo 52.º permite;
• danos reputacionais e comerciais — perda de clientes, parceiros bancários e investidores.

Quem supervisiona o DORA? Reguladores nacionais e da UE

A supervisão quotidiana do DORA permanece com o regulador que já licencia a empresa — o banco central ou a autoridade de supervisão financeira do seu Estado-Membro de origem. Essa autoridade competente recebe as comunicações de incidentes e os registos de informações, decide quem deve realizar TLPT e verifica o quadro de risco de TI no âmbito da supervisão habitual. A maioria publica nos seus websites orientações, modelos e prazos DORA.

A nível da UE, três organismos partilham o trabalho: a Autoridade Europeia dos Valores Mobiliários e dos Mercados, a Autoridade Bancária Europeia e a EIOPA, autoridade dos seguros e pensões. Elaboram as normas técnicas que concretizam os pormenores e designam conjuntamente os prestadores terceiros críticos de serviços de ICT, sendo cada um deles posteriormente supervisionado por uma das três entidades como supervisor principal.

Lista de verificação de conformidade com o DORA: como cumprir

Quer uma empresa esteja a solicitar uma licença ou já seja supervisionada, o mesmo conjunto de documentos comprova a conformidade com o DORA durante uma auditoria. Um ponto de partida prático para um plano de implementação DORA ou análise de lacunas:

• Confirme o seu âmbito: em que categoria do artigo 2.º se enquadra e se se aplica o quadro simplificado ou uma isenção de microempresa.
• Mapeie todos os ativos, sistemas e fluxos de dados de TI que suportem uma função crítica ou importante.
• Adote uma política de gestão do risco de ICT aprovada pelo conselho de administração, com responsáveis identificados e revisão anual.
• Implemente classificação de incidentes, um registo de incidentes e modelos de comunicação compatíveis com os prazos legais.
• Elabore um calendário anual de testes e confirme se o supervisor o incluiu na lista de TLPT.
• Compile o registo de informações sobre todos os prestadores de TI e atualize os seus contratos com as cláusulas obrigatórias.
• Verifique o risco de concentração e elabore planos de saída para fornecedores que suportem funções críticas.
• Teste cópias de segurança, restauro e o plano de continuidade de TI pelo menos uma vez por ano.
• Forme o conselho de administração e guarde prova de que a formação foi realizada.

A Eesti Firma aconselha empresas fintech e de criptoativos sobre a vertente jurídica do DORA: identificar as obrigações aplicáveis, alinhar o quadro de TI com os requisitos de licenciamento MiCA, rever contratos com fornecedores e preparar os documentos que um supervisor espera analisar. Contacte-nos para discutir como o regulamento se aplica à sua empresa.

Solicitar uma consulta

Perguntas frequentes sobre o DORA