Entenda a Lei de Resiliência Operacional Digital (DORA)

A Lei de Resiliência Operacional Digital é uma regulamentação da União Europeia (UE) que aborda como as instituições financeiras e seus parceiros de Tecnologia da Informação e Comunicação (TIC) gerenciam o risco cibernético. Ela cria uma estrutura de supervisão obrigatória e estabelece padrões técnicos que as entidades financeiras da UE e seus prestadores de serviços devem implementar em seus sistemas de TIC.

The European Commission proposed DORA in September 2020. Regulation (EU) 2022/2554 was adopted in December 2022, entered into force on January 16, 2023, and became applicable on January 17, 2025. The European Supervisory Authorities subsequently developed regulatory and implementing technical standards that provide additional detail on areas such as ICT risk management, incident classification and reporting, registers of information, third-party arrangements, resilience testing, and oversight.

Cada Estado-Membro da UE é responsável por garantir a conformidade. A designated regulator, or “competent authority,” can request entities to take specific security measures and remediate known vulnerabilities.

The European Supervisory Authorities designate critical ICT third-party providers and assign a Lead Overseer. Under the DORA oversight framework, a Lead Overseer may request information, conduct investigations and inspections, issue recommendations, and impose periodic penalty payments in circumstances specified by the regulation. Enforcement measures applicable to financial entities are administered through the relevant competent authorities and national frameworks.

DORA applies directly to the financial institutions operating in the EU financial sector, including banks, credit institutions, investment firms, and insurance companies.

It also significantly affects ICT third-party service providers because financial entities must assess provider risk, maintain information about ICT contracts, and include specified provisions in relevant agreements. ICT providers designated as critical by the European Supervisory Authorities are additionally subject to direct EU oversight. Em outras palavras, qualquer empresa de tecnologia que forneça sistemas de TIC para o setor financeiro da UE deve aderir às regulamentações. Under DORA, that includes any ICT provider based outside the EU but still operating within its jurisdiction.

A third-country ICT provider is not required to establish an EU subsidiary merely because it supplies services to an EU financial entity. The establishment requirement is connected to the critical-provider oversight regime and should therefore be described only in that context.

DORA applies across the EU financial sector and to the ICT providers that serve it. As a directly applicable EU regulation, it establishes a wide set of operational requirements.

We’ll cover these in more detail later, but at a high level:

• As entidades abordadas devem estabelecer uma estratégia abrangente de resiliência operacional digital que incorpore avaliações de risco de segurança cibernética, planos de continuidade de negócios e protocolos de resposta a incidentes.
• Entities are required to promptly report major ICT-related incidents affecting their digital operations to the relevant competent authority, ensuring a coordinated response across the EU.
• As instituições financeiras devem gerenciar e monitorar os riscos associados aos seus fornecedores terceirizados de TIC. Isso inclui realizar a devida diligência e garantir que os fornecedores cumpram os requisitos contratuais.
• As organizações devem testar a estrutura de resiliência operacional regularmente para identificar e corrigir fraquezas.
• As entidades devem ter estruturas de governança com alta administração e conselhos responsáveis por supervisionar a resiliência e garantir a conformidade.
• A DORA incentiva as organizações a compartilharem informações sobre ameaças e melhores práticas, aprimorando coletivamente o gerenciamento de riscos operacionais.

Os prestadores de serviços financeiros estão em risco. DORA aims to bolster digital operational resilience in two ways:

1. Abordar a gestão de riscos de TIC para instituições financeiras em grande escala
2. Harmonizar as regulamentações de gerenciamento de riscos em uma estrutura coesa

Anteriormente, as regulamentações da UE se concentravam principalmente em garantir que as empresas financeiras tivessem capital suficiente para cobrir riscos e interrupções operacionais. Alguns órgãos reguladores divulgaram diretrizes sobre o gerenciamento de riscos de TIC, mas elas não se aplicavam a todas as entidades da mesma forma. Plus, they were based on general best practices – not technical standards.

Sem uma estrutura de supervisão unificada, cada Estado-membro da UE estabeleceu seus próprios requisitos. Isso criou um labirinto de regulamentações desarticuladas que as empresas internacionais não conseguiam entender facilmente.

DORA solves this problem with a single, harmonized set of rules that applies to all covered entities regardless of where they operate in the EU.

Ao harmonizar o gerenciamento de riscos no setor financeiro, a DORA minimiza a confusão e eleva o nível de segurança de TIC e da continuidade dos negócios.

DORA defines digital operational resilience as a financial entity's ability to build, assure, and review its operational integrity and reliability – ensuring it can continue to deliver services throughout ICT disruptions such as cyberattacks and outages.

A continuidade é especialmente vital no setor financeiro, onde os sistemas de TIC desempenham um papel fundamental na forma como os consumidores acessam e administram seus fundos. De acordo com a ESMA, os serviços financeiros tornaram-se fortemente dependentes de tecnologias digitais para realizar operações diárias. That dependency, in turn, has increased cyber risk greatly.

Na verdade, mesmo um único incidente de TIC pode ter grandes efeitos em cascata na infraestrutura crítica. Quando não são geridos de forma adequada, os riscos podem atrapalhar a prestação de serviços financeiros, o que pode afetar outras entidades, setores e até mesmo a economia europeia.

Imagine um cenário em que a plataforma de negociação terceirizada de um banco de investimentos fica off-line durante um ataque de negação de serviço. Isso não só atrapalharia a experiência do usuário final, mas também poderia custar muito dinheiro aos clientes no mercado.

Para complicar ainda mais, eventos geopolíticos deram origem a ataques patrocinados pelo estado e hacktivistas rebeldes visando serviços financeiros. A guerra da Rússia e da Ucrânia, por exemplo, inspirou cibercriminosos pró-Rússia a atacar a infraestrutura de rede do Banco Europeu de Investimento em 2023. Felizmente, o incidente impactou apenas brevemente a disponibilidade do site do banco.

O quadro abrangente da DORA está estruturado em torno de cinco pilares. Each addresses a different aspect of digital operational resilience and risk management, but in combination, they form the foundation for a strong and secure financial sector.

1. Gestão e governança de riscos de TIC

Per Articles 5-6, management bodies are responsible for defining, approving, overseeing, and remaining accountable for the financial entity’s ICT risk management arrangements.

Em termos gerais, as organizações são obrigadas implementar sistemas para manter a continuidade dos negócios no caso de um incidente de TIC. As estruturas de gestão de riscos devem incluir estratégias, políticas, procedimentos e ferramentas para proteger os componentes físicos e a infraestrutura digital contra acesso não autorizado ou danos.

Additionally, financial entities within scope are required to:

• Mapear seus sistemas de TIC para identificar recursos, funções e dependências críticas entre fornecedores.
• Realizar avaliações regulares de risco em seus sistemas de TIC para documentar, classificar e planejar ameaças cibernéticas.
• Realizar análises de impacto nos negócios para entender como interrupções graves podem afetar as operações.
• Implementar medidas adequadas de segurança cibernética, como ferramentas de Gerenciamento de identificação e acesso (IAM), sistemas automatizados de detecção de ameaças e assim por diante.
• Establish business continuity and disaster recovery plans for cyberattacks, service failures, and natural disasters
• Realizar revisões pós-incidentes para aprender com eventos passados e promover melhorias contínuas.

2. Relatórios de incidentes

According to Article 17, financial entities must classify ICT-related incidents using the applicable DORA criteria and report major incidents to the relevant competent authority using an initial notification, an intermediate report, and a final report. The detailed content and time limits are specified in Commission Delegated Regulation (EU) 2025/301. financial entities must classify ICT-related incidents using the applicable DORA criteria and report major incidents to the relevant competent authority using an initial notification, an intermediate report, and a final report. The detailed content and time limits are specified in Commission Delegated Regulation (EU) 2025/301.

And, according to Articles 18-19, organizations must:

• Classify ICT-related incidents with the criteria that apply to different impact levels
• Create a common template or procedure for reporting incidents to the supervisory authority
• Inform end-users and customers about a major incident without delay, primarily if an incident affects clients’ financial interests, and all measures being used to mitigate its consequences

Vale ressaltar que a DORA exige que as entidades apresentem três tipos diferentes de relatórios:

1. Um relatório inicial para notificar as autoridades
2. Um relatório intermediário para comunicar o progresso na resolução do incidente
3. Um relatório final analisando as causas principais do incidente e como elas foram resolvidas

3. Testes de resiliência operacional digital

A DORA estabelece alguns requisitos básicos relacionados aos testes de resiliência. Financial entities must maintain a proportionate, risk-based digital operational resilience testing program. ICT systems and applications supporting critical or important functions must be tested appropriately and at least annually.

Per Articles 25-26, entities must:

• Estabelecer um programa de testes que corresponda ao seu tamanho, negócio e perfis de risco
• Incluir uma série de avaliações, testes, metodologias e ferramentas
• Follow a risk-based approach, taking into account the evolving landscape of ICT risks
• Garantir que os testes sejam realizados por partes independentes
• Priorizar, classificar e solucionar totalmente todos os problemas e vulnerabilidades descobertos
• Testar todos os sistemas e aplicativos críticos de TIC pelo menos uma vez por ano

Additionally, Article 26 states financial entities identified by competent authorities must also conduct advanced threat-led penetration testing at least every three years, unless the competent authority adjusts that frequency.

4. Gestão de riscos de terceiros

A DORA espera que as empresas financeiras gerenciem ativamente o seu cenário de risco de terceiros e tenham em mente a resiliência operacional ao negociar acordos contratuais. Especificamente, a DORA estabelece as seguintes regras relacionadas à gestão de riscos de terceiros:

• As entidades financeiras devem manter um registro de informações relacionadas a acordos contratuais com provedores de serviços de TIC terceirizados.
• Firms must report to competent authorities at least once per year on new arrangements involving ICT services, including the categories of provider and contractual arrangement, as required by the applicable reporting framework.
• As entidades devem exercer due diligence ao avaliar contratos, identificando todos os riscos relevantes e possíveis conflitos de interesse. Elas também devem negociar estipulações que envolvam estratégias de saída, auditorias e metas de desempenho para acessibilidade e segurança.
• Os direitos e as obrigações da entidade financeira e do prestador de serviços terceirizado de TIC devem ser alocados e definidos por escrito, acessíveis a ambas as partes. 
• ICT third-party service providers designated as critical by the ESAs are subject to direct oversight from a relevant supervisory authority.
• Regulatory Technical Standards (RTS) for subcontracting-chain risks were entered into application on July 22, 2025, and cover precontractual risk assessment, due diligence, implementation, monitoring, and management of subcontracted ICT services supporting critical or important functions.

According to the regulation, entities are discouraged from contracting with ICT companies that fail to meet the appropriate technical standards. As autoridades competentes podem até suspender ou rescindir acordos que não estejam em conformidade.

5. Compartilhamento de informações

DORA also encourages collaboration among trusted financial entities through voluntary cyber-threat information-sharing arrangements to:

• Aumentar a sensibilização para os riscos relacionados à TIC
• Minimizar a propagação de vetores de ameaças de TIC
• Compartilhar técnicas defensivas, estratégias de mitigação e inteligência contra ameaças

DORA is the sector-specific EU framework for digital operational resilience in financial services, while NIS2 establishes broader cybersecurity obligations across multiple critical sectors. Article 4 of the NIS2 Directive confirms that DORA's provisions apply instead of NIS2 for overlapping requirements – ICT risk management, major-incident reporting, resilience testing, and ICT third-party risk. Organizations should still assess whether other NIS2 provisions or national implementing laws apply to their activities.

According to Article 4 of the NIS2 Directive, DORA’s provisions shall apply instead of those outlined in NIS2. Isso significa que a DORA tem precedência sobre as entidades financeiras, pelo menos no que diz respeito à gestão de riscos de TIC, à comunicação de incidentes e aos testes de resiliência.

Preparação para conformidade com a DORA

DORA sets a high bar for risk management, which requires coordinated governance, operational, technical, and third-party risk-management capabilities. Felizmente, há um caminho claro que você pode seguir para começar:

1. Realize uma análise de lacunas: An initial gap analysis involves assessing the entire company profile from top to bottom, defining its state of cyber maturity and understanding its existing risk management framework. Este exercício ajudará a determinar até que ponto seus processos e procedimentos atuais devem ser atualizados.
2. Exija treinamento em TIC: It’s best to create an ongoing training program for all employees – management included. Os líderes são responsáveis pela não conformidade com a DORA, portanto, certifique-se de que todos estejam informados e atentos às mais recentes ameaças à segurança de TIC.
3. Faça uma auditoria nos contratos de terceiros: uma análise minuciosa dos seus acordos contratuais pode ajudá-lo a compreender as dependências dos fornecedores de TIC. Por sua vez, você pode identificar e priorizar medidas de segurança para proteger essas conexões. Faça um inventário de todos os contratos, incluindo provedores de serviços em nuvem, fornecedores de software e outros sistemas de TIC. Em seguida, certifique-se de que possuem disposições alinhadas com os requisitos da DORA.
4. Demonstrate your controls and security measures; don’t just document them. Regulators are looking for organizations to demonstrate that their security measures are working effectively. Documenting your security measures might have been enough to comply before DORA became applicable. Now, organizations must show that the measures documented were implemented and continue to operate effectively.
5. Implement stronger identity controls internally and with third-party providers.

Reforce a resiliência cibernética com a Entrust

Não deixe a conformidade com a DORA ao acaso. Whether you’re a financial entity or an ICT provider, Entrust solutions can help you protect critical infrastructure and support your DORA compliance program.

Nossas soluções incluem:

• Entrust Cryptographic Security Platform: Unifies management, oversight, and compliance of your cryptographic assets across their lifecycle, bringing together HSMs, PKI, and lifecycle management for keys, certificates, and secrets. CSP Compliance Manager delivers the inventory, risk scoring, and immutable audit trail that support the ICT asset identification and documentation requirements of Article 8.
• Hardware security modules (HSMs): Provide a FIPS 140-3 Level 3 certified environment for generating, managing, and protecting cryptographic keys – supporting the key protection measures required under Article 9(4)(d).
• Gerenciamento de identificação e acesso: A Identificação como serviço da Entrust é uma plataforma inteligente que simplifica a autenticação, autorização e controle de acesso do usuário. Conecte-se com seus consumidores por meio de portais seguros, comprovação de identificação e muito mais.
• Infraestrutura de chave pública (PKI): A PKI da Entrust ajuda a oferecer uma estrutura para comunicações e autenticação seguras, usando certificados digitais para verificar entidades e criptografar dados.