O que é a DORA e como cumprir o regulamento?
A DORA (Digital Operational Resilience Act) é o regulamento europeu que estabelece requisitos uniformes de resiliência digital para entidades financeiras e os seus fornecedores críticos de serviços TIC. Entrou em aplicação a 17 de janeiro de 2025 e aplica-se a bancos, seguradoras, gestoras de fundos, empresas de investimento, fintechs, prestadores de serviços de pagamento e fornecedores tecnológicos críticos do setor.
A DORA estrutura-se em cinco pilares: gestão de riscos TIC (identificação, proteção, deteção, resposta e recuperação), notificação de incidentes (classificação e reporte às autoridades), testes de resiliência (testagem regular dos sistemas críticos), gestão de riscos de terceiros TIC (controlo sobre fornecedores tecnológicos) e acordos de partilha de informação (partilha de inteligência sobre ameaças).
Ao contrário de diretivas anteriores como a NIS2, a DORA é um regulamento diretamente aplicável: não necessita de transposição nacional. Os seus requisitos são os mesmos em todos os Estados-membros da UE, eliminando a fragmentação regulatória que existia em matéria de resiliência digital financeira.
Porque é importante?
O setor financeiro depende criticamente dos seus sistemas de informação. Segundo o BCE, o número de ciberincidentes significativos no setor financeiro europeu triplicou entre 2020 e 2024. Uma falha nos sistemas de um banco pode afetar milhões de clientes e gerar risco sistémico. A DORA responde a esta realidade exigindo que as entidades demonstrem capacidade para resistir, responder e recuperar de perturbações.
As sanções por incumprimento podem atingir 1% da faturação diária média global durante um máximo de 6 meses. Mas para além das coimas, o incumprimento pode resultar em restrições operacionais impostas pelos supervisores. Para fornecedores tecnológicos críticos, a Comissão Europeia pode solicitar alterações às suas práticas ou mesmo proibir a sua utilização por entidades supervisionadas.
Como funciona na prática?
A DORA exige que as entidades financeiras mantenham um inventário completo dos seus ativos de informação e sistemas TIC, com documentação das suas interdependências. Devem identificar os dados e sistemas que suportam funções críticas ou importantes, avaliar os riscos associados e demonstrar que conseguem recuperar de perturbações.
Na prática, isto requer: um catálogo atualizado de ativos de dados e sistemas, rastreabilidade de dados através dos sistemas (linhagem), classificação de criticidade, políticas de retenção e qualidade documentadas, e capacidade de reportar às autoridades com detalhe como fluem os dados e que controlos existem. Os fornecedores tecnológicos críticos (cloud, dados, core banking) devem também cumprir requisitos específicos.
DORA e como cumprir o regulamento no Linedat
A Linedat cobre vários requisitos da DORA ao fornecer um inventário completo de ativos de dados com as suas interdependências (linhagem), classificação de sensibilidade e criticidade, políticas de qualidade e retenção documentadas, e registos de auditoria que demonstram os controlos sobre os dados. Estas capacidades são diretamente auditáveis e exportáveis para relatórios para os supervisores.
Termos relacionados
O RGPD (GDPR em inglês) é o regulamento europeu de proteção de dados. Conheça os seus princípios fundamentais e como implementar a conformidade.
O que é Data Governance?Data Governance é o conjunto de políticas, processos e funções que garante a qualidade, segurança e uso correto dos dados numa organização.
O que é Data Quality (Qualidade de Dados)?Data Quality mede se os dados são precisos, completos, consistentes e atualizados. Aprenda a implementar regras de qualidade eficazes.
O que é a Análise de Impacto em Dados?A análise de impacto avalia o que deixará de funcionar antes de efetuar alterações em dados, tabelas ou colunas. Previne incidentes a jusante.