Digital Operational Resilience Act (DORA) da UE

O que é a lei DORA?

A Digital Operational Resilience Act, ou DORA, é um regulamento da União Europeia (UE) que cria um framework abrangente para gerenciamento dos riscos da tecnologia da informação e comunicação (TIC) para o setor financeiro da UE. O DORA estabelece um conjunto unificado de regras para lidar com lacunas, evitar sobreposições e resolver conflitos entre diferentes regulamentações. Com isso, reduz o ônus da conformidade e fortalece a resiliência do sistema financeiro da UE.

O DORA entrou em vigor em 17 de janeiro de 2025.

Objetivo da DORA

Antes do DORA, as regulamentações da UE se concentravam principalmente no capital para riscos operacionais, com diretrizes de TIC e segurança não uniformes entre os países. O DORA tem como objetivo melhorar o gerenciamento dos riscos de TIC no setor de serviços financeiros e harmonizar as regulamentações entre os estados membros da UE.

O DORA é complementado por uma série de Normas Técnicas Regulatórias (RTS) vinculativas e Normas Técnicas de Implementação (ITS), que estabelecem normas harmonizadas e diretrizes práticas sobre a implementação efetiva dos requisitos regulatórios.

Escopo do DORA

O DORA se aplica a uma ampla gama de entidades financeiras, como bancos, instituições de crédito e pagamento, empresas de investimento, ambientes de negociação e depositários centrais de valores e entidades não tradicionais, incluindo provedores de serviços de criptoativos e plataformas de financiamento coletivo. Existem isenções para gestores de fundos de investimento alternativos que se qualificam para isenção nos termos do artigo 3 (2) do AIFMD e instituições de pequeno porte e não complexas que atendem a determinados limites com base no tamanho, perfil de risco e complexidade operacional.

Um aspecto exclusivo e marcante do DORA que é importante destacar é que ele se aplica não apenas às entidades financeiras, mas também aos provedores de TIC críticos que atendem ao setor financeiro, como os provedores de serviços de nuvem e data centers.

Aplicação do DORA

A aplicação do DORA é de responsabilidade do Banco Central Europeu (BCE) e dos órgãos reguladores designados em cada estado membro da UE, conhecidos como "autoridades nacionais competentes", ou NCAs. O BCE e as autoridades nacionais competentes podem solicitar que as entidades financeiras adotem medidas específicas de gerenciamento de riscos e segurança e corrijam as vulnerabilidades. Além disso, eles têm poderes de execução para impor penalidades administrativas e criminais às entidades que não cumprirem as expectativas da supervisão. Cada estado-membro tem o poder de decidir, a seu critério, como sua autoridade nacional competente deve impor as penalidades.

Os provedores de TIC considerados "críticos" conforme estabelecido no DORA serão supervisionados diretamente pelas autoridades de supervisão das Autoridades Supervisórias Europeias (ESAs). Assim como as autoridades nacionais competentes, as autoridades de supervisão podem solicitar que sejam adotadas medidas de segurança preventivas e curativas específicas para lidar com as vulnerabilidades e penalizar os fornecedores de TIC não conformes. O DORA permite que as autoridades de supervisão apliquem multas aos provedores de TIC no valor de 1% do faturamento médio diário mundial do provedor no ano comercial anterior. Os provedores podem ser multados todos os dias por até seis meses até que atendam às expectativas da autoridade de supervisão.

Requisitos da DORA

A DORA estabelece requisitos técnicos para entidades financeiras e provedores de TIC em quatro domínios:

Gestão e governança de riscos da TIC
Resposta e relatórios de incidentes
Testes de resiliência operacional digital
Gerenciamento de risco terceirizado

Um quinto domínio abrange o compartilhamento de informações, que é incentivado, mas não obrigatório, ao contrário dos outros quatro domínios.

As entidades financeiras no escopo para o DORA devem assumir um papel ativo na gestão do risco de terceiros relacionado à TIC. Ao terceirizar funções críticas e importantes, as entidades financeiras devem negociar acordos contratuais específicos relacionados a estratégias de saída, auditorias e metas de desempenho para acessibilidade, integridade e segurança dos dados, entre outros itens. As entidades não estão autorizadas a contratar fornecedores de TIC que não atendam a esses requisitos. O ECB e as autoridades competentes nacionais podem suspender ou rescindir contratos que não estejam em conformidade. A Comissão Europeia está estudando a possibilidade de elaborar cláusulas contratuais padronizadas que as entidades e os provedores de TIC possam utilizar para ajudar a garantir a conformidade de seus contratos com o DORA.

As entidades financeiras também precisam mapear suas dependências de TIC de terceiros e são obrigadas a ajudar a garantir que suas funções críticas e importantes não estejam indevidamente concentradas em um único provedor ou em um pequeno grupo de provedores.

Os provedores críticos de serviços de TIC de terceiros estarão sujeitos à supervisão direta das ESAs relevantes. A Comissão Europeia ainda está desenvolvendo os critérios para determinar quais provedores são críticos. Aqueles que atenderem aos padrões terão uma das ESAs designada como supervisora principal. Além de aplicar os requisitos do DORA aos fornecedores críticos, as entidades supervisoras têm o poder de proibir os fornecedores de estabelecer contratos com empresas financeiras ou outros provedores de TIC que não estejam em conformidade com os requisitos do DORA.

Recursos úteis

O DORA responsabiliza um órgão de administração da entidade pela gestão da TIC. Membros do conselho, líderes executivos e gestores seniores devem definir estratégias eficazes de gerenciamento de riscos, participar ativamente da implementação dessas estratégias e manter-se informados sobre os riscos relacionados às tecnologias da informação e comunicação (TIC). Além disso, os líderes podem ser responsabilizados individualmente pela não conformidade de uma entidade.

Espera-se que as entidades cobertas desenvolvam estruturas abrangentes de gerenciamento de riscos de TIC. As entidades devem mapear seus sistemas de TIC, identificar e classificar ativos e funções críticas e dependências de documentos entre ativos, sistemas, processos e provedores. É necessário que as entidades realizem avaliações de risco de forma continuada em seus sistemas de TIC, documentar e classificar ameaças cibernéticas e documentar as medidas tomadas para reduzir os riscos identificados.

Como parte do processo de avaliação de riscos, as entidades devem conduzir análises de impacto nos negócios para avaliar como cenários específicos e interrupções graves podem afetar os negócios. Espera-se que as entidades utilizem os resultados dessas análises para definir níveis de tolerância ao risco e esclarecer o projeto de sua infraestrutura de TIC.As entidades serão obrigadas também a implementar medidas adequadas de proteção de cibersegurança, como políticas de gerenciamento de identidades e acesso e gerenciamento de correções, com controles técnicos como sistemas para maior detecção e resposta, software de gerenciamento de informações e eventos de segurança (SIEM) ferramentas de orquestração de segurança, automação e resposta (SOAR).

As entidades precisam estabelecer também planos de continuidade de negócios e recuperação de desastres para vários cenários de risco cibernético, como falhas de serviço de TIC, desastres naturais e ciberataques. Esses planos devem conter medidas de backup e recuperação de dados, processos de restauração do sistema e planos de comunicação com clientes e parceiros afetados e autoridades.

As entidades cobertas devem estabelecer sistemas para monitorar, gerenciar, registrar, classificar e relatar incidentes relacionados à TIC. Dependendo da gravidade do incidente, as entidades podem ter que fazer relatórios para os reguladores e para os clientes e parceiros afetados. As entidades serão obrigadas a apresentar três tipos distintos de relatórios para incidentes críticos: um primeiro relatório avisando as autoridades, um relatório intermediário sobre o progresso na resolução do incidente e um relatório final com a análise das causas-raiz do incidente.

As regras sobre como os incidentes devem ser classificados, quais incidentes devem ser relatados e prazos para notificação estão sendo elaboradas. As ESAs estão explorando também maneiras de simplificar os relatórios com o estabelecimento de um ponto central e modelos comuns de relatórios.

As entidades são obrigadas a testar regularmente seus sistemas de ICT para avaliar a eficácia de suas proteções e identificar vulnerabilidades. É necessário que os resultados desses testes, bem como os planos para corrigir as fraquezas encontradas, sejam comunicados e validados pelas autoridades competentes pertinentes.

As entidades devem realizar testes como avaliações de vulnerabilidade e testes baseados em cenários uma vez por ano. As entidades financeiras que desempenharem um papel crítico no sistema financeiro também precisarão passar por testes de penetração baseados em ameaças (TLPT) a cada três anos. Os provedores críticos de TIC da entidade também serão obrigados a participar desses testes de penetração. Em 23 de janeiro de 2025, o Conselho Administrativo do BCE aprovou o framework Threat Intelligence-based Ethical Red Teaming (TIBER)-UE atualizado para red teams éticas baseadas em inteligência de ameaças, a fim de alinhá-las plenamente com as normas técnicas regulamentares do DORA no que diz respeito a testes de penetração baseados em ameaças, tendo em vista a entrada em vigor do DORA em 17 de janeiro de 2025. O framework TIBER-UE atualizado e os documentos de orientação estão disponíveis no site do BCE.

As entidades financeiras são obrigadas a estabelecer processos para aprender com incidentes relacionados a TIC, internos e externos. Para esse fim, o DORA incentiva as entidades a participarem de acordos voluntários de compartilhamento  de inteligência de ameaças. Toda informação compartilhada neste contexto ainda deve ser protegida conforme estabelecem as diretrizes relevantes, por exemplo, as informações de identificação pessoal ainda estão sujeitas às considerações do General Data Protection Regulation (GDPR).

IBM Cloud e DORA

O IBM Cloud tem o compromisso de auxiliar nossos clientes para fortalecer a resiliência operacional digital deles diante das dificuldades e para ajudar a prepará-los para cumprimento de suas obrigações estabelecidas pelo DORA. Com nosso longo histórico e vasta experiência trabalhando com algumas das organizações de serviços financeiros mais conhecidas do mundo em sua jornada para a modernização, a IBM tem o compromisso de auxiliar nossos clientes a estimular o crescimento, reduzindo os riscos e adaptando-se ao cenário regulatório em evolução, incluindo a conformidade com o DORA.

Por ser um provedor de serviço de nuvem (CSP), o DORA afeta a IBM Cloud de duas maneiras:

Indiretamente, quando tanto a IBM quanto as entidades financeiras que são nossas clientes são obrigadas a adotar medidas, como por exemplo, revisar políticas e procedimentos e adaptar ferramentas para gerenciar a segurança, a estabilidade e a resiliência dos sistemas de TIC, bem como o conteúdo e o tratamento geral de contratos, tanto entre clientes e a IBM quanto entre a IBM e nossos fornecedores.

Diretamente, caso a IBM e o IBM Cloud possam ser designados como prestadores de serviços terceirizados críticas de TIC, exigindo supervisão, conforme estabelece o DORA, onde o IBM Cloud presta serviços de TIC para entidades financeiras.

Até o momento, a IBM não foi oficialmente designada como prestadora crítica de TIC pelas autoridades da UE. No entanto o IBM Cloud está se preparando proativamente para lidar com possíveis exigências diretas, caso a IBM seja designada como prestadora de serviços terceirizados crítica de TIC pelas autoridades competentes.

Como viabilizar a resiliência operacional na IBM Cloud

Gerenciamento de risco

Design da solução

Operações

Continuidade e recuperação

O IBM Cloud apoia os clientes para esclarecer a tomada de decisões baseada em risco. Nossa documentação contém informações detalhadas para cada serviço de nuvem, para destacar as medidas de resiliência de serviço integradas e ajudar os clientes nos projetos para lidar com possíveis interrupções não planejadas. Incluímos uma documentação de conformidade detalhada como evidência de recursos robustos. Além disso, o IBM Cloud Security and Compliance Center Workload Protection automatiza as verificações de conformidade para o IBM Cloud Framework for Financial Services, DORA, PCI e muitas outras normas relacionadas ao setor ou de melhores práticas, para seus recursos do IBM Cloud, e para aqueles em ambientes multinuvem.

O IBM Cloud oferece uma plataforma robusta que permite que os clientes projetem uma implementação resiliente que melhor se adapte às suas necessidades. Nossas regiões multizona oferecem uma variedade de localizações geográficas e serviços globais e entre zonas altamente disponíveis, como o Gerenciamento de acesso e identidade, IBM Cloud Databases, serviços de contêineres (Kubernetes e Red Hat OpenShift), vários serviços de armazenamento e nuvem privada virtual para atender aos requisitos de resiliência e conformidade das aplicações para as cargas de trabalho mais exigentes. Além disso, pode-se criar uma recuperação de desastres entre regiões utilizando arquiteturas de referência e orientações de melhores práticas, para mitigar uma variedade de cenários.

A estabilidade é importante e, por isso, o IBM Cloud garante que os clientes tenham os recursos de resiliência necessários para evitar interrupções não planejadas, de tudo como código e arquiteturas implementáveis, implementadas por meio do IBM Cloud Schematics, a arquitetura de rede altamente disponível e o IBM Cloud Monitoring de última geração. As funcionalidades de auto-scaling de muitos serviços, incluindo nuvem privada virtual, IBM Kubernetes Service, Red Hat OpenShift on IBM Cloud e IBM Cloud Databases garantem que as cargas de trabalho tenham capacidade suficiente para atender aos picos, com a capacidade de equilibrar facilmente a carga entre zonas ou até mesmo regiões. Enquanto isso, as práticas de DevSecOps, implementadas com cadeias de ferramentas de entrega contínua, melhoram o gerenciamento automatizado de lançamentos e as práticas de segurança por design.

Um pressuposto fundamental que sustenta a regulamentação sobre resiliência operacional é que incidentes e interrupções não planejados ocorrem, apesar de todos os esforços. Por isso, a forma como lidamos com essas situações (reduzindo sua frequência e impacto) é essencial. Realizamos testes de BCDR com frequência para garantir que nossos processos estejam alinhados com os níveis de tolerância a impacto definidos pelos clientes. Os resultados desses testes são utilizados para aprimorar o treinamento dos funcionários, aumentar a consciência e promover melhorias contínuas. Quando ocorrem incidentes, compartilhamos notificações oportunas sobre os incidentes com os clientes afetados, conduzimos análises de causa raiz e compartilhamos as descobertas conforme apropriado. Muitos serviços do IBM Cloud fazem backup automático dos dados do cliente em grupos de Object Storage entre regiões, para auxiliar na recuperação para uma segunda região em caso de desastre, alinhados com nosso modelo de responsabilidade compartilhada.

1. Gerenciamento de riscos de TIC

Cloud Pak for Security

Segurança

Integre as ferramentas de segurança existentes para obter insights mais profundos sobre ameaças e riscos, orquestrar ações e automatizar respostas.

Digital Operational Resilience Act (UE)

Recursos