Soluções · Serviços financeiros
Desde janeiro de 2025, o DORA vale para as entidades financeiras de toda a UE. A primeira onda está concluída; agora a autoridade federal alemã de supervisão financeira (BaFin) pergunta por processos efetivamente aplicados e registros completos. O Sightadel orienta você pelos requisitos, faz do registro de informações um subproduto da gestão diária dos prestadores de serviços e registra o que o órgão de administração decidiu.
Ponto de partida
A maioria das instituições começou o DORA como projeto: análise de lacunas, revisão de políticas, preenchimento do registro para a primeira data de referência. Grande parte disso está hoje em planilhas, pastas de rede e e-mails. Bastou para o primeiro envio. Para a operação do dia a dia raramente basta, porque cada alteração contratual, cada novo prestador de serviços e cada teste precisa ser acrescentado em algum lugar.
O DORA exige mais do que um registro. O regulamento se apoia em cinco pilares: gestão de riscos de TIC sob a responsabilidade do órgão de administração, gestão e notificação de incidentes de TIC, testes de resiliência operacional digital, gestão do risco de terceiros em TIC e compartilhamento voluntário de informações sobre ameaças cibernéticas. As normas técnicas das autoridades europeias de supervisão regulam os detalhes. Na Alemanha, a supervisão cabe à BaFin.
As instituições menores enfrentam a mesma obrigação com menos pessoal. A segurança da informação muitas vezes fica a cargo de uma única pessoa, que acumula a terceirização, a proteção de dados e a gestão de emergências. Para ela, o que conta é que as evidências estejam em um só lugar, que os prazos não sejam esquecidos e que a próxima auditoria não desencadeie uma coleta às pressas.
Por que agora
A BaFin solicita o registro de informações uma vez por ano, com referência a uma data fixa. Identificadores ausentes ou dados contraditórios levam a rejeições. Quem só atualiza o registro pouco antes volta a procurar tudo do zero todo ano.
Auditores e supervisores perguntam pela estrutura de gestão de riscos de TIC, pela revisão anual dela, pelos resultados dos testes e pelo tratamento das constatações. O que se pede são provas datadas, não declarações de intenção.
Antes da assinatura do contrato, são necessárias a avaliação de risco e a verificação do conteúdo contratual. Se o prestador apoiar uma função crítica ou importante, somam-se a estratégia de saída e cláusulas ampliadas.
Um incidente grave dispara prazos de notificação de poucas horas. Quem só define os critérios de classificação, os responsáveis e os canais de notificação no momento crítico perde justamente essas horas.
Testes de invasão, varreduras de vulnerabilidades e auditoria interna geram constatações. A supervisão quer ver que elas são avaliadas, priorizadas e tratadas dentro do prazo.
Com uma autorização ampliada, uma fusão ou o fim de isenções, a estrutura simplificada pode deixar de valer. Passam então a valer os requisitos completos, e o nível de evidências precisa acompanhar esse crescimento.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
Vale diretamente desde 17 de janeiro de 2025 para as entidades financeiras da UE, como instituições de crédito, instituições de pagamento e de moeda eletrônica, empresas de investimento, seguradoras, gestoras de fundos e prestadores de serviços de criptoativos. Não existe certificado. Espera-se um nível de evidências que a BaFin e os auditores consigam acompanhar.
Ver framework →Não é obrigatória, mas é a base comprovada. Gestão de riscos, controle de acesso e de mudanças, backups e gestão de incidentes são elementos que um SGSI já constrói. O DORA acrescenta principalmente o registro de informações, a classificação de incidentes, o conteúdo contratual e o programa de testes.
Ver framework →Dados de clientes, dados de contas e informações de crédito são sensíveis. Os contratos de operador de dados e o registro exigido pelo DORA usam os mesmos dados dos prestadores de serviços. Um incidente pode gerar ao mesmo tempo uma notificação à autoridade supervisora de proteção de dados e à BaFin.
Ver framework →Para as entidades financeiras abrangidas pelo DORA, o DORA é a regra especial. É nele que você cumpre as obrigações de cibersegurança. A NIS2 se torna relevante quando empresas do grupo, por exemplo um prestador de TI próprio, atuam fora do DORA e atingem os limites.
Ver framework →Não é um tema para a própria instituição, mas é uma evidência valiosa na avaliação de provedores de nuvem. Um relatório de asseguração C5 atual não substitui a avaliação de risco própria, mas a torna bem mais sólida.
Ver framework →Ordem recomendada
Esclareça como que tipo de entidade financeira você está abrangido pelo DORA e se a estrutura simplificada de gestão de riscos de TIC prevista no art. 16 é aplicável. Disso depende o tamanho da estrutura, dos testes e da documentação.
Quais funções colocariam em risco a operação, o cumprimento de obrigações ou a autorização em caso de falha? Essa definição perpassa o registro, os contratos, os testes e as estratégias de saída. Quem a aprova é o órgão de administração.
Cada prestador de serviços de TIC é cadastrado com contrato, funções apoiadas, locais do tratamento de dados, subcontratados e evidências. Disso resulta o registro de informações. O conteúdo contratual que falta vira medida para a próxima rodada de contratos.
Critérios de classificação, responsáveis, substitutos e canais de notificação são documentados com antecedência e ensaiados uma vez. Um registro de incidentes guarda também os incidentes que não estão sujeitos a notificação.
Os requisitos são percorridos de forma guiada e as evidências existentes no SGSI são vinculadas. O programa de testes funciona como um ciclo. As constatações viram problemas com prazo e responsável.
A estrutura é revisada pelo menos uma vez por ano e após incidentes graves. O órgão de administração é informado, aprova as alterações e recebe treinamento. O Sightadel lembra cada prazo que se aproxima.
Foco
Quase nenhuma instituição opera sua TI sozinha. Core banking, data center, nuvem, pagamentos e aplicações especializadas vêm de terceiros. O DORA coloca essas dependências no centro da supervisão.
Não é uma simples lista de contratos, mas um conjunto estruturado: prestador, contrato, função, criticidade, locais, substituibilidade e os subcontratados por trás. No Sightadel, ele resulta da manutenção do dia a dia no módulo Fornecedores, e não de uma coleta às pressas antes da data de referência.
Os contratos de serviços de TIC precisam de um conteúdo mínimo, como a descrição do serviço, os locais de tratamento de dados, os direitos de acesso e de auditoria, o apoio em caso de incidente e os direitos de rescisão. Para funções críticas ou importantes valem requisitos ampliados. Cada cláusula que falta vira uma tarefa com responsável.
O risco é avaliado antes da assinatura do contrato e revisado regularmente depois. Certificados, relatórios de asseguração e relatórios de auditoria dos prestadores ficam armazenados com data de validade junto ao respectivo fornecedor. Quando uma evidência vence, você vê isso no painel.
Para os prestadores que apoiam funções críticas ou importantes, é necessário um plano documentado sobre como substituir o serviço ou trazê-lo para dentro de casa sem interrupções. Ele é versionado e revisado regularmente como qualquer outra evidência.
Como o Sightadel ajuda
O módulo Fornecedores é a base do registro de informações. Prestadores, contratos, funções apoiadas, criticidade, subcontratados e evidências são mantidos ali assim que um contrato é assinado ou alterado.
Saiba mais →Os requisitos do regulamento estão disponíveis com referência ao artigo e à evidência esperada. As evidências existentes no SGSI ficam vinculadas ao mesmo tempo ao DORA e à ISO 27001.
Saiba mais →Cláusulas contratuais ausentes, constatações de testes e da auditoria interna e pontos em aberto da análise de lacunas viram tarefas com prazo e responsável. O progresso fica sempre visível.
Saiba mais →Políticas, deliberações do órgão de administração, relatórios de testes e comprovantes de treinamento ficam versionados em um só lugar. Cada evidência tem uma data de validade, e o Sightadel avisa antes de o prazo terminar.
Saiba mais →Modelos para a estrutura de gestão de riscos de TIC, a política de risco de terceiros, os planos de emergência e as estratégias de saída fornecem um primeiro rascunho. O apetite a risco, as funções críticas e a classificação são decididos por você.
Saiba mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O ritmo depende principalmente de os contratos estarem completos e da disposição dos prestadores para renegociar cláusulas. Quem for designado para testes de invasão baseados em ameaças deve planejá-los como projeto à parte.
O que você licencia · normalmente Professional
Uma instituição típica gerencia o DORA junto com a ISO 27001 como base na edição Professional. Ela inclui dez usuários e 25 fornecedores. Com muitos prestadores de serviços de TIC ou várias empresas, a escolha adequada é a Enterprise, com número ilimitado de fornecedores. Se a ISO 27001 estiver incluída, há um desconto permanente no DORA.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
O art. 16 do DORA prevê uma estrutura simplificada para determinadas entidades financeiras de menor porte, como pequenas empresas de investimento não interconectadas, instituições de pagamento e de moeda eletrônica isentas pelo direito da UE e pequenas entidades de previdência complementar. Nelas, os requisitos são mais leves, mas não desaparecem. Se a sua entidade está abrangida decorre da sua autorização. Na dúvida, esclareça a questão com a sua assessoria em direito regulatório.
Não, mas ajuda bastante. Muitas bases já existem. Normalmente faltam o registro de informações, a classificação de incidentes segundo os critérios das normas técnicas, o conteúdo mínimo dos contratos com prestadores de serviços de TIC e um programa de testes no sentido do DORA. No Sightadel, você vê quais evidências já estão vinculadas aos dois frameworks.
O Sightadel não está conectado à plataforma de reporte da BaFin. Os dados do registro são mantidos no módulo Fornecedores e exportados. O envio no formato e no período definidos é feito pela plataforma da BaFin.
Documente a situação, as conversas e a sua avaliação de risco. Para funções que não sejam críticas nem importantes, o risco muitas vezes é aceitável. No caso de funções críticas ou importantes, a questão deve ser levada ao órgão de administração, incluindo a estratégia de saída. O Sightadel registra a decisão, a justificativa e a data de reavaliação.
Normalmente, a segurança da informação como Admin, a gestão de terceirização, compras e operações de TI como Contributor e o órgão de administração como Viewer. A auditoria interna e os auditores externos recebem a função Auditor: comentam, só editam após aprovação e nunca excluem nada. Sua assessoria externa é convidada como Consultant externo.
É verdade, e por isso o Sightadel deve constar do seu registro. O Sightadel é operado na Alemanha. Com cada cliente firmamos um contrato de operador de dados nos termos do art. 28 do GDPR (Regulamento Geral sobre a Proteção de Dados da UE).
O Sightadel garante que a estrutura, as deliberações, os testes, o registro e as constatações estejam documentados com data e responsável e que os auditores recebam acesso sem permissão de exclusão. O Sightadel não substitui a assessoria em direito regulatório. Para questões difíceis, você pode contratar um pacote de consultoria no aplicativo, se necessário.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
