Soluções · Serviços financeiros
Desde janeiro de 2025, o DORA aplica-se às entidades financeiras de toda a UE. A primeira vaga está concluída; agora a autoridade federal alemã de supervisão financeira (BaFin) pergunta por processos efetivamente aplicados e registos completos. O Sightadel orienta-o pelos requisitos, faz do registo de informações um subproduto da gestão diária dos prestadores de serviços e regista o que o órgão de administração decidiu.
Ponto de partida
A maioria das instituições começou o DORA como projeto: análise de lacunas, revisão de políticas, preenchimento do registo para a primeira data de referência. Grande parte disso está hoje em folhas de cálculo, pastas de rede e e-mails. Bastou para a primeira submissão. Para o funcionamento corrente raramente basta, porque cada alteração contratual, cada novo prestador de serviços e cada teste tem de ser acrescentado em algum lado.
O DORA exige mais do que um registo. O regulamento assenta em cinco pilares: gestão do risco associado às TIC sob a responsabilidade do órgão de administração, gestão e notificação de incidentes relacionados com as TIC, testes de resiliência operacional digital, gestão do risco das TIC associado a terceiros e partilha voluntária de informações sobre ciberameaças. As normas técnicas das autoridades europeias de supervisão regulam os pormenores. Na Alemanha, a supervisão cabe à BaFin.
As instituições mais pequenas enfrentam a mesma obrigação com menos pessoal. A segurança da informação está muitas vezes a cargo de uma única pessoa, que acumula a subcontratação, a proteção de dados e a gestão de emergências. Para ela, o que conta é que as evidências estejam num só sítio, que os prazos não sejam esquecidos e que a próxima auditoria não desencadeie uma recolha apressada.
Porquê agora
A BaFin solicita o registo de informações uma vez por ano, com referência a uma data fixa. Identificadores em falta ou dados contraditórios levam a rejeições. Quem só atualiza o registo pouco antes volta a procurar tudo do zero todos os anos.
Revisores e supervisores perguntam pelo quadro de gestão do risco associado às TIC, pela sua revisão anual, pelos resultados dos testes e pelo tratamento das constatações. Pedem-se provas datadas, não declarações de intenção.
Antes da celebração do contrato, impõem-se a avaliação de risco e a verificação do conteúdo contratual. Se o prestador apoiar uma função crítica ou importante, acrescem a estratégia de saída e cláusulas alargadas.
Um incidente grave desencadeia prazos de notificação de poucas horas. Quem só define os critérios de classificação, os responsáveis e os canais de notificação no momento crítico perde precisamente essas horas.
Testes de penetração, análises de vulnerabilidades e auditoria interna produzem constatações. A supervisão quer ver que são avaliadas, priorizadas e tratadas dentro do prazo.
Com uma autorização alargada, uma fusão ou o fim de isenções, o quadro simplificado pode deixar de se aplicar. Passam então a valer os requisitos completos, e o nível de evidências tem de acompanhar esse crescimento.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
Aplica-se diretamente desde 17 de janeiro de 2025 às entidades financeiras da UE, como instituições de crédito, instituições de pagamento e de moeda eletrónica, empresas de investimento, seguradoras, sociedades gestoras de fundos e prestadores de serviços de criptoativos. Não existe certificado. Espera-se um nível de evidências que a BaFin e os auditores consigam acompanhar.
Ver framework →Não é obrigatória, mas é a base comprovada. Gestão de risco, controlo de acessos e de alterações, cópias de segurança e gestão de incidentes são elementos que um SGSI já constrói. O DORA acrescenta sobretudo o registo de informações, a classificação de incidentes, o conteúdo contratual e o programa de testes.
Ver framework →Dados de clientes, dados de contas e informações de solvabilidade são sensíveis. Os acordos de subcontratação e o registo exigido pelo DORA recorrem aos mesmos dados dos prestadores de serviços. Um incidente pode desencadear em simultâneo uma notificação à autoridade de controlo da proteção de dados e à BaFin.
Ver framework →Para as entidades financeiras abrangidas pelo DORA, o DORA é a regra especial. É aí que cumpre as obrigações de cibersegurança. A NIS2 torna-se relevante quando sociedades do grupo, por exemplo um prestador de TI próprio, atuam fora do DORA e atingem os limiares.
Ver framework →Não é um tema para a própria instituição, mas é uma evidência valiosa na avaliação de prestadores de serviços de nuvem. Um relatório de atestação C5 atual não substitui a avaliação de risco própria, mas torna-a bastante mais sólida.
Ver framework →Ordem recomendada
Esclareça como que tipo de entidade financeira está abrangido pelo DORA e se o quadro simplificado de gestão do risco associado às TIC previsto no art. 16.º é aplicável. Disso depende a dimensão do quadro, dos testes e da documentação.
Que funções poriam em risco a atividade, o cumprimento de obrigações ou a autorização em caso de falha? Esta definição atravessa o registo, os contratos, os testes e as estratégias de saída. É o órgão de administração que a aprova.
Cada prestador de serviços de TIC é registado com contrato, funções apoiadas, localizações do tratamento de dados, subcontratantes e evidências. Daí resulta o registo de informações. O conteúdo contratual em falta transforma-se em medidas para a próxima ronda de contratos.
Critérios de classificação, responsáveis, substitutos e canais de notificação são documentados de antemão e ensaiados uma vez. Um registo de incidentes guarda também os incidentes que não estão sujeitos a notificação.
Os requisitos são percorridos de forma guiada e as evidências existentes no SGSI são associadas. O programa de testes funciona como um ciclo. As constatações tornam-se problemas com prazo e responsável.
O quadro é revisto pelo menos uma vez por ano e após incidentes graves. O órgão de administração é informado, aprova as alterações e recebe formação. O Sightadel lembra cada prazo que se aproxima.
Foco
Quase nenhuma instituição gere a sua TI sozinha. Sistema bancário central, centro de dados, nuvem, pagamentos e aplicações específicas vêm de terceiros. O DORA coloca estas dependências no centro da supervisão.
Não é uma simples lista de contratos, mas um conjunto estruturado: prestador, contrato, função, criticidade, localizações, substituibilidade e os subcontratantes por trás. No Sightadel, resulta da manutenção corrente no módulo Fornecedores, e não de uma recolha apressada antes da data de referência.
Os contratos de serviços de TIC precisam de um conteúdo mínimo, como a descrição do serviço, os locais de tratamento de dados, os direitos de acesso e de auditoria, o apoio em caso de incidente e os direitos de rescisão. Para funções críticas ou importantes aplicam-se requisitos alargados. Cada cláusula em falta torna-se uma tarefa com responsável.
O risco é avaliado antes da celebração do contrato e revisto regularmente depois. Certificados, relatórios de atestação e relatórios de auditoria dos prestadores ficam guardados com data de validade junto do respetivo fornecedor. Quando uma evidência expira, vê-o no painel.
Para os prestadores que apoiam funções críticas ou importantes, é necessário um plano documentado sobre como substituir o serviço ou internalizá-lo sem perturbações. É versionado e revisto regularmente como qualquer outra evidência.
Como o Sightadel ajuda
O módulo Fornecedores é a base do registo de informações. Prestadores, contratos, funções apoiadas, criticidade, subcontratantes e evidências são mantidos ali assim que um contrato é celebrado ou alterado.
Saber mais →Os requisitos do regulamento estão disponíveis com referência ao artigo e à evidência esperada. As evidências existentes no SGSI ficam associadas em simultâneo ao DORA e à ISO 27001.
Saber mais →Cláusulas contratuais em falta, constatações de testes e da auditoria interna e pontos em aberto da análise de lacunas tornam-se tarefas com prazo e responsável. O progresso está sempre visível.
Saber mais →Políticas, deliberações do órgão de administração, relatórios de testes e comprovativos de formação ficam versionados num só sítio. Cada evidência tem uma data de validade, e o Sightadel avisa antes de o prazo terminar.
Saber mais →Modelos para o quadro de gestão do risco associado às TIC, a política de risco de terceiros, os planos de emergência e as estratégias de saída fornecem um primeiro rascunho. O apetite pelo risco, as funções críticas e a classificação são decididos por si.
Saber mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O ritmo depende sobretudo de os contratos estarem completos e da disponibilidade dos prestadores para renegociar cláusulas. Quem for designado para testes de penetração baseados em ameaças deve planeá-los como projeto autónomo.
O que licencia · tipicamente Professional
Uma instituição típica gere o DORA juntamente com a ISO 27001 como base na edição Professional. Esta inclui dez utilizadores e 25 fornecedores. Com muitos prestadores de serviços de TIC ou várias sociedades, a escolha adequada é a Enterprise, com número ilimitado de fornecedores. Se a ISO 27001 estiver incluída, há um desconto permanente no DORA.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
O art. 16.º do DORA prevê um quadro simplificado para determinadas entidades financeiras de menor dimensão, como pequenas empresas de investimento não interligadas, instituições de pagamento e de moeda eletrónica isentas ao abrigo do direito da UE e pequenas instituições de realização de planos de pensões profissionais. Aí os requisitos são mais leves, mas não desaparecem. Se a sua entidade está abrangida resulta da sua autorização. Em caso de dúvida, esclareça a questão com a sua assessoria em direito de supervisão.
Não, mas ajuda bastante. Muitas bases já existem. Normalmente faltam o registo de informações, a classificação de incidentes segundo os critérios das normas técnicas, o conteúdo mínimo dos contratos com prestadores de serviços de TIC e um programa de testes na aceção do DORA. No Sightadel vê que evidências já estão associadas aos dois frameworks.
O Sightadel não está ligado à plataforma de reporte da BaFin. Os dados do registo são mantidos no módulo Fornecedores e exportados. A submissão no formato e no período definidos é feita através da plataforma da BaFin.
Documente a situação, as conversas e a sua avaliação de risco. Para funções que não sejam críticas nem importantes, o risco é muitas vezes aceitável. No caso de funções críticas ou importantes, a questão deve ser levada ao órgão de administração, incluindo a estratégia de saída. O Sightadel regista a decisão, a fundamentação e a data de reavaliação.
Normalmente, a segurança da informação como Admin, a gestão da subcontratação, as compras e as operações de TI como Contributor e o órgão de administração como Viewer. A auditoria interna e os auditores externos recebem a função Auditor: ler, comentar, editar após aprovação – nunca apagar. A sua assessoria externa é convidada como Consultant externo.
É verdade, e por isso o Sightadel deve constar do seu registo. O Sightadel é operado na Alemanha. Com cada cliente celebramos um acordo de subcontratação nos termos do art. 28.º do RGPD.
O Sightadel garante que o quadro, as deliberações, os testes, o registo e as constatações estão documentados com data e responsável e que os auditores recebem um acesso próprio, sem permissão para apagar. O Sightadel não substitui a assessoria em direito de supervisão. Para questões difíceis, pode adquirir um pacote de consultoria na aplicação, se necessário.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
