Qual é o Digital Operational Resilience Act (DORA)?

A DORA estabelece normas técnicas que as entidades financeiras e seus provedores terceirizados críticos de serviços de tecnologia. Ele entrou em vigor pela primeira vez em 17 de janeiro de 2025.

Os principais objetivos da DORA são: abordar de forma abrangente a gestão de riscos do ICT no setor de serviços financeiros e harmonizar os regulamentos de gestão de riscos de ICT que já existem nos estados-membros individuais da UE.

Antes da DORA, as regulamentações de gerenciamento de riscos para instituições financeiras na UE se concentravam principalmente em garantir que as empresas tivessem capital suficiente para cobrir os riscos operacionais. Embora alguns reguladores da UE tenham lançado diretrizes sobre gerenciamento de riscos de ICT e segurança, essas diretrizes não se aplicavam igualmente a todas as entidades financeiras e muitas vezes se baseavam em princípios gerais em vez de padrões técnicos específicos. Na ausência de regras de gerenciamento de riscos de ICT em nível da UE, os estados membros da UE emitiram seus próprios requisitos. Esse mosaico de regulamentações se mostrou difícil para as entidades financeiras navegarem.

Com a DORA, a UE tem como objetivo estabelecer uma estrutura universal para gerenciar e mitigar os riscos de ICT no setor financeiro. Ao harmonizar as regras de gerenciamento de riscos em toda a UE, a DORA busca remover as lacunas, sobreposições e conflitos que possam surgir entre regulamentações díspares em diferentes estados da UE. Um conjunto compartilhado de regras pode facilitar a conformidade das entidades financeiras e, ao mesmo tempo, melhorar a resiliência de todo o sistema financeiro da UE, garantindo que todas as instituições sejam mantidas de acordo com o mesmo padrão.

A DORA se aplica a todas as instituições financeiras da UE. Isso inclui entidades financeiras tradicionais, como bancos, empresas de investimento e instituições de crédito e entidades não tradicionais, inclusive provedores de serviços de criptoativos e plataformas de crowdfunding.

Cabe notar que a DORA também se aplica a algumas entidades normalmente excluídas das regulações financeiras. Por exemplo, provedores terceirizados de serviços que fornecem às empresas financeiras sistemas e serviços de ICT, como provedores de serviços em nuvem e data centers, precisam seguir os requisitos da DORA. A DORA também abrange empresas que prestam serviços críticos de informação como terceiros, tais como serviços de classificação de crédito e provedores de análise de dados.

Esse foco nos prestadores de serviços terceirizados significa que até empresas situadas fora da Europa podem ser responsáveis pela conformidade regulatória. Por exemplo, muitas empresas na Índia prestam serviços de TI e de terceirização de processos de negócios a clientes europeus; essas empresas indianas precisam ficar atentas aos requisitos regulatórios da DORA para se manterem em conformidade. Entre outros requisitos, essas empresas precisam demonstrar sólidas medidas de resiliência cibernética e de continuidade dos negócios.

A DORA está atualmente em vigor e é aplicável desde 17 de janeiro de 2025, após anos de desenvolvimento.

A DORA foi proposto pela primeira vez pela Comissão Europeia, o braço executivo da UE responsável pela introdução da legislação, em setembro de 2020. Fazia parte de um pacote financeiro digital mais amplo que também inclui iniciativas para regular criptoativos e aprimorar a estratégia geral de finanças digitais da UE. O Conselho da União Europeia e o Parlamento Europeu (os órgãos legislativos responsáveis por aprovar as leis da UE) adotaram formalmente a DORA em novembro de 2022.

Após a adoção da lei, os principais detalhes foram acertados pelas Autoridades Europeias de Supervisão (ESAs). As ESAs são os órgãos reguladores que supervisionam o sistema financeiro da UE, entre eles a Autoridade Bancária Europeia (EBA), a Autoridade Europeia dos Valores Mobiliários e dos Mercados e a Autoridade Europeia dos Seguros e Pensões Complementares de Reforma.

As ESAs ficaram encarregadas de elaborar as normas técnicas regulatórias (RTS) e as normas técnicas de implementação (ITS) que as entidades abrangidas devem aplicar. Muitas dessas normas foram finalizadas em 2024. Por exemplo, em março de 2024, os reguladores emitiram normas técnicas regulatórias que especificam ferramentas, métodos, processos e políticas de gerenciamento de risco de ICT. Eles também especificaram os critérios para a classificação de grandes incidentes relacionados a ICT e de ameaças cibernéticas. Ainda em 2024, a Comissão Europeia começou a desenvolver um framework de supervisão para provedores críticos de ICT.

O framework da DORA é considerado completo desde julho de 2025.

A fiscalização agora fica a cargo de reguladores designados em cada Estado-membro da UE, conhecidos como “autoridades competentes.” As autoridades competentes podem solicitar que as entidades financeiras adotem medidas de segurança específicas e corrijam vulnerabilidades. Elas também podem impor sanções administrativas, e em alguns casos penais, a entidades que não cumprirem as regras. Cada Estado-membro define suas próprias sanções.

Os provedores de ICT considerados “críticos” pela Comissão Europeia serão supervisionados diretamente por supervisores principais das ESAs. Em novembro de 2025, os reguladores nomearam 19 empresas como “críticas”, uma lista que incluía Amazon, Google e IBM.

Assim como as autoridades competentes, os supervisores principais podem solicitar medidas de segurança e remediação e penalizar provedores de ICT que não estejam em conformidade. A DORA permite que os supervisores principais apliquem multas a provedores de ICT no valor de 1% do faturamento mundial médio diário do provedor no exercício financeiro anterior. Os provedores podem ser multados diariamente por até seis meses, até alcançarem a conformidade.

A DORA estabelece requisitos técnicos para entidades financeiras e provedores de TIC em quatro domínios:

• Gestão e governança de riscos da ICT
• Resposta e relatório de incidentes
• Teste de resiliência operacional digital
• Gerenciamento de risco terceirizado

O compartilhamento de informações é incentivado, mas não é necessário.

Espera-se que os requisitos sejam aplicados de forma proporcional, o que significa que entidades menores não serão submetidas aos mesmos padrões que as grandes instituições financeiras. Embora grandes operações de fiscalização ainda não tenham ganhado as manchetes em 2025, alguns especialistas jurídicos apontam 2026 como o ano em que a DORA entra em uma fase de maturidade. “Os conselhos devem estar preparados para uma nova cadência de interação com a supervisão, voltada para a resiliência operacional em vez das métricas prudenciais tradicionais”, escreve Michael Huertas, líder jurídico global e europeu de Serviços Financeiros da PwC Legal.

A DORA torna o órgão de administração de uma entidade responsável pela gestão de ICT. Espera-se que os membros do conselho, os líderes executivos e outros gestores seniores definam estratégias adequadas de gerenciamento de risco, participem ativamente de sua execução e mantenham seus conhecimentos atualizados sobre o cenário de risco de ICT. Os líderes também podem ser responsabilizados pessoalmente pelo descumprimento por parte da entidade.

Espera-se que as entidades cobertas desenvolvam estruturas abrangentes de gerenciamento de riscos de TIC. As entidades devem mapear seus sistemas de ICT, identificar e classificar ativos e funções críticas e dependências de documentos entre ativos, sistemas, processos e provedores. As entidades devem realizar avaliações de risco contínuas em seus sistemas de ICT, documentar e classificar ameaças cibernéticas e documentar suas medidas para mitigar os riscos identificados.

Como parte do processo de avaliação de risco, as entidades precisam realizar análises de impacto nos negócios para avaliar como cenários específicos e interrupções graves podem afetar o negócio. As entidades usam os resultados dessas análises para definir níveis de tolerância a risco e orientar a concepção de sua infraestrutura de ICT.As entidades também são obrigadas a implementar medidas adequadas de proteção de cibersegurança, como políticas de gerenciamento de identidade e acesso (IAM) e de gerenciamento de patches, além de controles técnicos como sistemas de detecção e resposta estendidas, softwares de gerenciamento de informações e eventos de segurança (SIEM) e ferramentas de orquestração, automação e resposta de segurança (SOAR).

As entidades precisam estabelecer também planos de continuidade de negócios e recuperação de desastres para vários cenários de risco cibernético, como falhas de serviço de TIC, desastres naturais e ciberataques. Esses planos devem conter medidas de backup e recuperação de dados, processos de restauração do sistema e planos de comunicação com clientes e parceiros afetados e autoridades.

As entidades abrangidas precisam estabelecer sistemas para monitorar, gerenciar, registrar, classificar e reportar incidentes relacionados a ICT. Dependendo da gravidade do incidente, as entidades podem precisar apresentar relatórios tanto aos reguladores quanto aos clientes e parceiros afetados.

As entidades são obrigadas a apresentar três tipos diferentes de relatórios para incidentes críticos: um relatório inicial notificando as autoridades, um relatório intermediário sobre o progresso na resolução do incidente e um relatório final analisando as causas-raiz do incidente.

As regras sobre gerenciamento de incidentes, como os incidentes devem ser classificados, quais incidentes devem ser reportados e os prazos para reporte foram publicadas em março de 2024.

As ESAs também exploraram formas de simplificar o reporte por meio da criação de um hub central de reporte para toda a UE e de modelos de relatório padronizados. Em janeiro de 2025, as ESAs publicaram o “Relatório sobre a viabilidade de maior centralização do reporte de grandes incidentes relacionados a ICT.” O relatório conclui que um “cenário de Hub único da UE é viável e traz certos benefícios”, mas um hub desse tipo levaria pelo menos cinco anos para ser implementado. Por enquanto, as soluções de reporte existem em nível nacional.

As entidades devem testar regularmente seus sistemas de ICT para avaliar a eficácia de suas proteções e identificar vulnerabilidades. Os resultados desses testes, bem como os planos para corrigir quaisquer pontos fracos encontrados, serão comunicados e validados pelas autoridades competentes pertinentes.

As entidades precisam realizar testes básicos, como avaliações de vulnerabilidade e testes baseados em cenários, uma vez por ano. As entidades financeiras consideradas de papel crítico no sistema financeiro também precisarão passar por testes de penetração orientados por ameaças (TLPT) a cada três anos. Os provedores de ICT críticos da entidade também serão obrigados a participar desses testes de penetração.As normas técnicas sobre como os TLPTs devem ser realizados foram publicadas no Jornal Oficial da UE em 18 de junho de 2025 e entraram em vigor 20 dias depois.

Um aspecto único da DORA é que ela se aplica não apenas às entidades financeiras, mas também aos provedores de ICT que atendem ao setor financeiro.

Espera-se que as empresas financeiras assumam um papel ativo na avaliação e no gerenciamento do risco de terceiros de ICT. Ao terceirizar funções críticas e importantes, as entidades financeiras precisam negociar acordos contratuais específicos sobre estratégias de saída, auditorias e metas de desempenho para acessibilidade, integridade e segurança, entre outros aspectos. As entidades não têm permissão para contratar provedores de ICT que não consigam atender a esses requisitos. As autoridades competentes têm poderes para suspender ou rescindir contratos que não estejam em conformidade.

As instituições financeiras também precisam mapear suas dependências de ICT de terceiros e são obrigadas a garantir que suas funções críticas e importantes não fiquem excessivamente concentradas em um único provedor ou em um pequeno grupo de provedores.

Os provedores terceirizados críticos de serviços de ICT estarão sujeitos à supervisão direta das ESAs competentes.Conforme mencionado, 19 empresas atendem atualmente a esses critérios e terão uma das ESAs designada como supervisor principal. Além de fazer cumprir os requisitos da DORA junto aos provedores críticos, os supervisores principais têm poderes para proibir que provedores firmem contratos com empresas financeiras ou outros provedores de ICT que não cumpram a DORA.

As entidades financeiras precisam estabelecer processos para aprender tanto com incidentes internos quanto externos relacionados a ICT. Com esse objetivo, a DORA incentiva as entidades a participar de acordos voluntários de compartilhamento de inteligência de ameaças. Qualquer informação compartilhada dessa forma ainda deve ser protegida conforme as diretrizes pertinentes, por exemplo, informações de identificação pessoal continuam sujeitas às disposições do Regulamento Geral de Proteção de Dados (RGPD).