Software · DORA
Um software DORA deve comprovar que a sua instituição cumpre o regulamento sobre a resiliência operacional digital: gestão de riscos de TIC com responsabilidade do órgão de administração, tratamento e notificação de incidentes, testes de resiliência e gestão dos prestadores terceirizados de serviços de TIC, incluindo o registro de informações. Esta página mostra o que um software precisa oferecer para isso, o que você deve observar na escolha e como o Sightadel faz isso.
Ponto de partida
O DORA se aplica desde janeiro de 2025 a entidades financeiras em toda a UE. O regulamento se apoia em cinco pilares: gestão de riscos de TIC, tratamento e notificação de incidentes relacionados com TIC, testes de resiliência operacional digital, gestão do risco de terceiros de TIC e compartilhamento voluntário de informações sobre ameaças. Normas técnicas das autoridades europeias de supervisão regulam os detalhes; na Alemanha, a supervisão é exercida pela autoridade federal alemã de supervisão financeira (BaFin). Não existe certificado DORA.
Para um software, quatro requisitos são sobretudo determinantes. O órgão de administração aprova o quadro de gestão de riscos de TIC e assume a responsabilidade (art. 5–6). Os incidentes são classificados segundo critérios uniformes, os graves são notificados, e a notificação inicial ocorre no máximo 24 horas após o conhecimento (art. 17–19). Um programa de testes baseado em riscos vale para todos; determinadas entidades realizam, além disso, testes de penetração baseados em ameaças pelo menos a cada três anos (art. 24–27). E o registro de informações abrange todos os contratos com prestadores de serviços de TIC (art. 28).
O registro costuma ser a parte mais trabalhosa, porque as informações não estão completas em nenhuma pasta de contratos. Um software DORA deve fazê-lo surgir da manutenção contínua dos prestadores, e não de um mutirão antes da data-base. Decisões como apetite a riscos, classificação de funções críticas ou importantes e estratégias de saída ficam com o órgão de administração.
Por que agora
A BaFin solicita o registro de informações uma vez por ano, com uma data-base. Quem só o atualiza pouco antes recomeça a busca do zero todo ano.
Pergunta-se pelo quadro, sua revisão anual, os resultados dos testes e o tratamento das constatações. Contam comprovantes com data, não declarações de intenção.
Antes da celebração do contrato, são necessárias a avaliação de riscos e a verificação do conteúdo contratual segundo o art. 30. Depois, o prestador precisa entrar no registro.
A primeira onda foi conduzida como projeto, com planilhas e pastas na rede. Para a operação contínua, isso raramente basta.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
Para entidades financeiras na UE. No Sightadel, 50 requisitos com referência ao artigo e evidência esperada. Para fechar as lacunas existentes, costumam passar de seis a doze meses. Para determinadas entidades menores, existe um quadro simplificado.
Ver framework →Gestão de riscos de TIC, controle de acesso, backup e tratamento de incidentes se apoiam nos mesmos fundamentos. O registro de informações não tem equivalente na ISO 27001.
Ver framework →Para entidades financeiras, o DORA prevalece. Muitas medidas coincidem; os prazos de notificação diferem no ponto de partida: o DORA se baseia na classificação, a NIS2 no conhecimento.
Ver framework →Um relatório de asseguração C5 de um provedor de nuvem é uma evidência valiosa na avaliação desse prestador. Ele não substitui a avaliação de riscos própria.
Ver framework →Medidas técnicas e contratos de operador de dados recorrem aos mesmos dados dos prestadores de serviços. Um incidente pode acionar várias obrigações de notificação.
Ver framework →Ordem recomendada
Esclarecer quais obrigações se aplicam, se o quadro simplificado é uma opção e quais funções são críticas ou importantes.
Percorrer de forma guiada os 50 requisitos e associar as evidências existentes do SGSI, da gestão de continuidade e do setor de compras.
Registrar prestadores, contratos, funções suportadas e subcontratados. Listas existentes entram por importação do Excel.
Definir critérios de classificação, responsabilidades e canais de notificação e simulá-los uma vez.
Planos de ação com responsáveis e prazos. Os ajustes contratuais costumam demorar mais, porque a outra parte precisa colaborar.
Executar o programa de testes, revisar o quadro anualmente, manter o registro atualizado. Depois, essas etapas se repetem em ciclo.
Escolha
Muitas ferramentas cobrem pilares isolados, por exemplo só o registro ou só a gestão de incidentes. Verifique se o software mantém todas as obrigações juntas e se é adequado ao seu porte.
Cada requisito deve remeter ao artigo do regulamento e indicar a evidência esperada. Assim, as perguntas da auditoria interna podem ser associadas diretamente.
Prestadores, contratos, funções suportadas e criticidade devem ser mantidos em um só lugar. O registro não pode ser um projeto separado para a data-base.
Quem também notifica pela NIS2 ou pelo GDPR (Regulamento Geral sobre a Proteção de Dados da UE) precisa separar bem os pontos de partida. O DORA se baseia na classificação como grave, a NIS2 no conhecimento.
Os testes devem ser planejados como compromissos recorrentes, e as constatações acompanhadas com prazo e responsável. O teste baseado em ameaças em si é realizado por testadores especializados.
Aprovação do quadro, deliberações e treinamentos da direção devem estar arquivados com data. Eles estão no início de toda verificação.
Uma instituição pequena tem a mesma obrigação, mas não precisa do mesmo aparato que um grande banco. Observe se o software pode ser usado sem uma longa implantação.
Como o Sightadel ajuda
50 requisitos com referência ao artigo e evidência esperada, cada um como pergunta com explicação. Evidências da ISO 27001 podem ser reaproveitadas diretamente.
Saiba mais →Prestadores de serviços com funções suportadas, criticidade, contratos e evidências com data de validade. As reavaliações chegam como lembrete. Assim o registro de informações cresce a partir da manutenção contínua.
Saiba mais →Protocolos de teste, testes de restauração e deliberações com versão e data de validade. Quando uma evidência vence, ela aparece como tarefa antes que a auditoria interna a encontre.
Saiba mais →Constatações de testes, verificações e cláusulas contratuais ausentes viram medidas com responsável e prazo. O registro de atividades mostra quem fez o quê e quando.
Saiba mais →Sincronização regular com sistemas como SAP, Microsoft Dynamics, Microsoft Azure ou Jira. Ativos, evidências e tarefas vêm dos sistemas em que já são mantidos.
Saiba mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O ritmo costuma ser ditado pelo registro de informações e pelos ajustes contratuais, não pelo software.
O que você licencia · normalmente Professional
Uma instituição típica conduz o DORA junto com a ISO 27001 como base na edição Professional. Com muitos prestadores de serviços de TIC ou várias empresas do grupo, a Enterprise é a escolha adequada. Se a ISO 27001 estiver incluída, o DORA custa permanentemente menos.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
O regulamento não prescreve software. Ele exige um quadro documentado, um registro de informações completo, um tratamento de incidentes rastreável e um programa de testes. Com poucos prestadores de serviços, isso é possível com planilhas. Com muitos contratos, vários envolvidos e envio anual, compensa ter um sistema.
Para o primeiro envio, muitas instituições usaram planilhas. Cada alteração contratual, cada novo prestador e cada teste precisa então ser lançado manualmente. Listas existentes podem ser importadas no Sightadel.
O Sightadel é licenciado por framework e edição, anualmente. Os valores atuais estão na página de preços. Se a ISO 27001 já estiver licenciada, o DORA custa permanentemente menos. Você pode testar grátis por 14 dias, sem dados de pagamento.
Não. O Sightadel guia você pelos requisitos e registra a situação. Os consultores você escolhe na rede de parceiros no aplicativo ou traz o seu. As verificações pela auditoria interna, pelo auditor independente e pela supervisão não são afetadas. O Sightadel não certifica e não recebe comissão.
Ele aprova o quadro de gestão de riscos de TIC, define o apetite a riscos, delibera sobre a classificação de funções críticas ou importantes e disponibiliza recursos. O Sightadel fornece rascunhos e registra as deliberações com data. As decisões são tomadas pelo próprio órgão.
Não. O TLPT é realizado por testadores especializados. O Sightadel registra o planejamento, o resultado e o tratamento das constatações. Saiba mais sobre os requisitos na página sobre o DORA.
O Sightadel é desenvolvido na Alemanha e operado na Alemanha.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
