Índice
O Digital Operational Resilience Act — mais conhecido como DORA — é o Regulamento UE 2022/2554 que entrou em plena aplicação a 17 de janeiro de 2025. Este regulamento impõe requisitos vinculativos de resiliência operacional digital a um vasto conjunto de entidades do setor financeiro na União Europeia. Para as empresas portuguesas do setor financeiro — desde bancos a seguradoras, passando por gestoras de ativos e fornecedores TIC críticos — o DORA não é uma opção: é uma obrigação legal com sanções significativas pelo incumprimento.
Neste artigo, explicamos o que é o DORA, quem está sujeito em Portugal, quais os 5 pilares de conformidade e como começar a implementar um programa de conformidade eficaz. Se a sua organização ainda não avançou com uma avaliação de lacunas DORA, este é o momento certo para agir — os reguladores portugueses estão a intensificar a supervisão em 2025 e 2026.
O que é o DORA?
O DORA (Regulamento UE 2022/2554 relativo à resiliência operacional digital do setor financeiro) foi publicado em dezembro de 2022 e entrou em plena aplicação a 17 de janeiro de 2025. O seu objetivo principal é harmonizar e elevar os requisitos de gestão de riscos TIC no setor financeiro da União Europeia, eliminando as discrepâncias entre as abordagens nacionais que criavam um mosaico regulatório confuso e ineficiente.
Antes do DORA, cada Estado-Membro e cada regulador setorial — banca, seguros, investimento — tinham as suas próprias orientações sobre resiliência TIC. Uma instituição financeira com operações em vários países europeus tinha de navegar por múltiplas frameworks regulatórias com requisitos diferentes e por vezes contraditórios. O DORA criou um framework único e vinculativo, diretamente aplicável em todos os Estados-Membros sem necessidade de transposição para legislação nacional.
O regulamento assenta em cinco pilares fundamentais: gestão de riscos TIC, gestão e reporte de incidentes TIC, testes de resiliência operacional digital, gestão do risco de terceiros TIC e partilha de informação sobre ciber-ameaças. Estes pilares são transversais a todas as entidades abrangidas, com requisitos proporcionais à dimensão e perfil de risco de cada entidade — o que significa que nem todas as organizações têm exatamente os mesmos requisitos, mas todas têm obrigações.
Nota regulatória: O DORA é acompanhado por Normas Técnicas Regulatórias (RTS) e Normas Técnicas de Execução (ITS) elaboradas pelas Autoridades de Supervisão Europeias (EBA, ESMA, EIOPA), que detalham os requisitos técnicos específicos para cada pilar.
Quem está sujeito ao DORA em Portugal?
O DORA abrange uma lista extensa de entidades do setor financeiro. Em Portugal, as principais categorias de entidades sujeitas ao regulamento são:
- Instituições de crédito e bancos — supervisionados pelo Banco de Portugal (BdP), incluindo bancos, caixas de crédito agrícola e outras instituições de crédito autorizadas.
- Empresas de investimento e gestoras de ativos — supervisionadas pela CMVM (Comissão do Mercado de Valores Mobiliários), incluindo sociedades gestoras de fundos de investimento e SICAV.
- Empresas de seguros e resseguros — supervisionadas pela ASF (Autoridade de Supervisão de Seguros e Fundos de Pensões), incluindo fundos de pensões e mediadores de seguros acima de determinada dimensão.
- Instituições de pagamento e moeda eletrónica — autorizadas e supervisionadas pelo Banco de Portugal, incluindo fintechs de pagamentos.
- Plataformas de negociação e contrapartes centrais — supervisionadas pela CMVM.
- Prestadores de serviços de criptoativos (CASP) — sob o regime MiCA, supervisionados pela CMVM em Portugal.
- Fornecedores terceiros de serviços TIC críticos (CTPP) — designados pelas ESAs e sujeitos a supervisão direta a nível europeu.
Existe uma isenção proporcional para as entidades mais pequenas. Microentidades e certas instituições de crédito de menor dimensão podem beneficiar de um regime simplificado que reduz a intensidade dos requisitos dos Pilares 3 e 4. No entanto, mesmo as entidades com regime simplificado têm obrigações mínimas de gestão de riscos TIC e reporte de incidentes — não há isenção total.
Se a sua organização está em dúvida sobre a sua categoria de enquadramento DORA, o passo inicial é confirmar com o regulador setorial competente (BdP, CMVM ou ASF) e realizar uma gap analysis estruturada face aos requisitos aplicáveis à sua categoria.
Os 5 pilares do DORA — requisitos detalhados
O DORA estrutura os seus requisitos em cinco pilares interdependentes. Compreender cada pilar em detalhe é essencial para planear um programa de conformidade eficaz.
Gestão de Riscos TIC
O primeiro pilar exige que todas as entidades abrangidas disponham de um framework de gestão de riscos TIC documentado e aprovado pelo órgão de administração. Este não é um requisito técnico que pode ser delegado ao departamento de IT — é uma responsabilidade explícita da liderança da organização.
Os requisitos específicos incluem: uma estratégia de resiliência digital documentada e alinhada com a estratégia de negócio; políticas de segurança TIC abrangentes; um inventário completo de ativos TIC (hardware, software, dados e infraestrutura); um processo formal de gestão de vulnerabilidades; e planos de continuidade de negócio TIC com objetivos de recuperação (RTO/RPO) definidos e testados.
O órgão de administração deve aprovar e supervisionar regularmente o framework de riscos TIC, receber relatórios periódicos sobre o estado da resiliência digital e garantir a alocação adequada de recursos.
Classificação e Reporte de Incidentes TIC
O segundo pilar estabelece um regime harmonizado de classificação e reporte de incidentes TIC. As entidades devem classificar os incidentes TIC em major e não major, com base em critérios definidos nas RTS (impacto nos serviços, número de clientes afetados, duração, dados comprometidos, etc.).
Para incidentes major, o DORA impõe prazos estritos de reporte ao regulador competente:
- Alerta inicial: dentro de 4 horas após a classificação como incidente major (máximo 24 horas após a deteção).
- Relatório intermédio: dentro de 24 horas após o alerta inicial, com atualização sobre estado e impacto.
- Relatório final: dentro de 1 mês após a resolução do incidente, com análise de causa raiz e medidas corretivas.
As entidades devem comunicar ao seu regulador setorial (BdP, CMVM ou ASF, consoante a categoria) que por sua vez reporta às autoridades europeias competentes.
Testes de Resiliência Operacional Digital
O terceiro pilar exige que as entidades testem regularmente a sua resiliência digital. Os requisitos são diferenciados por categoria de entidade:
Testes básicos anuais são obrigatórios para todas as entidades abrangidas, incluindo testes de vulnerabilidades, revisões de código (onde aplicável), análises de segurança de rede e testes de cenários de disaster recovery.
As entidades significativas (determinadas pela dimensão, perfil de risco e interconexão sistémica) estão adicionalmente sujeitas a TLPT (Threat-Led Penetration Testing) de 3 em 3 anos. O TLPT é um teste de penetração avançado baseado em inteligência de ameaças, realizado por testadores externos certificados, com certificação formal dos resultados pelas autoridades competentes. Em Portugal, o BdP, CMVM e ASF coordenam com o CNCS a implementação do framework TIBER-EU para TLPT.
Gestão do Risco de Terceiros TIC
O quarto pilar aborda um dos maiores riscos sistémicos do setor financeiro: a dependência de fornecedores TIC externos, incluindo fornecedores de cloud, software crítico e infraestrutura partilhada.
As entidades devem manter um registo completo de todos os contratos com prestadores TIC, incluindo informação sobre a criticidade de cada serviço para as funções de negócio. Devem também avaliar o risco de concentração — o risco de dependência excessiva de um único fornecedor ou de um grupo de fornecedores interconectados.
Os contratos com prestadores TIC devem incluir cláusulas obrigatórias definidas pelo DORA: direito de auditoria pela entidade e pelos reguladores, disposições de continuidade de serviço, planos de saída e portabilidade de dados. Prestadores que não aceitem estas cláusulas não devem ser contratados para serviços críticos.
Partilha de Informação sobre Ciber-Ameaças
O quinto pilar incentiva — e em alguns casos exige — a participação em plataformas de partilha de informação sobre ciber-ameaças. As entidades são encorajadas a partilhar indicadores de compromisso (IoC), táticas, técnicas e procedimentos (TTPs) de agentes de ameaça e informação sobre vulnerabilidades exploradas.
Esta partilha de inteligência de ameaças contribui para elevar o nível coletivo de resiliência do setor financeiro europeu, permitindo que entidades mais pequenas beneficiem da inteligência obtida por entidades com maiores capacidades de deteção. A participação em arranjos de partilha de informação deve ser formalizada e documentada.
Supervisão DORA em Portugal
Em Portugal, a supervisão do DORA é partilhada entre os reguladores setoriais, cada um responsável pela sua área de competência:
- Banco de Portugal (BdP) — supervisiona bancos, instituições de crédito, instituições de pagamento e emitentes de moeda eletrónica.
- CMVM — supervisiona empresas de investimento, gestoras de fundos, plataformas de negociação, contrapartes centrais e prestadores de serviços de criptoativos.
- ASF — supervisiona empresas de seguros, resseguros e fundos de pensões.
- ESAs a nível europeu — EBA, ESMA e EIOPA supervisionam diretamente os fornecedores TIC críticos designados (CTPP), incluindo grandes fornecedores de cloud como AWS, Microsoft Azure e Google Cloud quando designados como críticos.
O CNCS (Centro Nacional de Cibersegurança) colabora com os reguladores setoriais na componente de cibersegurança, em particular no contexto da implementação do TLPT e do framework TIBER-EU. As entidades devem registar-se junto da sua autoridade competente e reportar incidentes major diretamente ao seu regulador setorial.
Ponto prático: Em caso de incidente major que afete simultâneamente serviços bancários e de pagamentos, a entidade deve reportar ao BdP como regulador primário, que coordenará com as restantes autoridades competentes conforme necessário.
Multas e sanções por incumprimento do DORA
O DORA prevê sanções administrativas significativas para incumprimento. Para as entidades, as coimas podem atingir €10.000.000 ou 5% do volume de negócios anual total (prevalece o montante mais elevado). Para membros do órgão de administração individualmente responsáveis por infrações, as coimas podem atingir €1.000.000.
Para fornecedores TIC críticos supervisionados diretamente pelas ESAs, o regime de sanções é ainda mais severo: coimas diárias de até 1% do volume de negócios global médio diário enquanto a infração persistir, podendo acumular durante um período de 6 meses.
Além de coimas monetárias, o DORA prevê: suspensão temporária de licenças ou autorização de atividade; publicação da infração e identificação da entidade responsável (naming and shaming); exigência de medidas corretivas com prazos determinados; e proibição temporária de exercício de funções de administração.
Avalie o nível de conformidade DORA da sua organização
A BALTUM realiza gap analysis DORA em 3-5 dias úteis para entidades financeiras portuguesas. Identifique as lacunas antes que o regulador as identifique por si.
Solicitar gap analysis DORA →Como ISO 22301 e ISO 27001 suportam a conformidade DORA
A implementação de normas ISO reconhecidas internacionalmente é a abordagem mais eficiente e estruturada para cumprir os requisitos DORA. As duas normas mais relevantes são a ISO 27001 e a ISO 22301, que em conjunto cobrem a grande maioria dos requisitos dos Pilares 1, 2 e 3.
ISO 27001 — Suporte ao Pilar 1 (Gestão de Riscos TIC)
A ISO 27001:2022 (Sistema de Gestão de Segurança da Informação — SGSI) foi concebida precisamente para o tipo de gestão de riscos TIC que o DORA exige. Um SGSI ISO 27001 certificado inclui: framework documentado de gestão de riscos de segurança da informação; políticas de segurança TIC abrangentes; inventário de ativos de informação (incluindo TIC); processo formal de gestão de vulnerabilidades e patches; e controlo A.17 (Continuidade de Gestão da Segurança da Informação) que complementa a gestão de continuidade de negócio.
A nova versão ISO 27001:2022 incorpora também controlos relevantes para cloud security, gestão de fornecedores e threat intelligence — áreas diretamente alinhadas com os Pilares 4 e 5 do DORA.
ISO 22301 — Suporte ao Pilar 3 (Resiliência) e Pilar 1
A ISO 22301:2019 (Sistema de Gestão de Continuidade de Negócio — SGCN) suporta diretamente os requisitos de resiliência do DORA. Um SGCN certificado inclui Business Impact Analysis (BIA) formal, estratégias de continuidade documentadas, planos de recuperação com RTO/RPO definidos e testados regularmente, e exercícios periódicos de continuidade — todos requisitos explícitos do Pilar 1 e Pilar 3 do DORA.
As organizações com certificação ISO 27001 e ISO 22301 têm já implementada a base técnica e documental necessária para conformidade DORA, reduzindo significativamente o esforço adicional necessário. Na nossa experiência com clientes do setor financeiro, organizações certificadas nestas duas normas precisam tipicamente de 30-40% menos esforço de implementação DORA do que organizações a partir do zero.
Programa de conformidade DORA — por onde começar
Um programa de conformidade DORA estruturado para entidades financeiras portuguesas deve seguir os seguintes passos:
- Gap analysis DORA: Avaliar o estado atual da organização face aos 5 pilares para a sua categoria específica de entidade. Identificar lacunas prioritárias e estimar o esforço de remediação.
- Definir roadmap prioritizado: O Pilar 1 (gestão de riscos) e o Pilar 2 (classificação e reporte de incidentes) são os mais urgentes, por terem aplicação imediata e implicações diretas em caso de incidente.
- Implementar ou certificar ISO 27001: A ISO 27001 é a base mais sólida para o Pilar 1. Se ainda não tem SGSI implementado, este é o ponto de partida.
- Implementar ou certificar ISO 22301: Para cobrir os requisitos de continuidade do Pilar 1 e os requisitos de testes do Pilar 3, a ISO 22301 é o complemento natural da ISO 27001.
- Criar registo de contratos TIC: Inventariar todos os prestadores TIC, classificar por criticidade e avaliar riscos de concentração (Pilar 4).
- Estabelecer processo de reporte de incidentes: Definir procedimentos para classificação, escalada e reporte de incidentes TIC major com os prazos DORA (4h, 24h, 1 mês).
- Planear programa de testes: Definir calendário de testes básicos anuais e, se aplicável, planear TLPT para o ciclo de 3 anos.
Prazo típico para conformidade completa: 6 a 12 meses para entidades de dimensão média, dependendo da maturidade TIC existente e dos recursos internos dedicados ao projeto.
Dica prática: Comece pelo Pilar 2 (reporte de incidentes) em paralelo com o Pilar 1 (gestão de riscos). Um processo de reporte de incidentes pode ser implementado em 4-6 semanas e reduz imediatamente a exposição regulatória em caso de incidente.
Conclusão
O DORA representa uma mudança fundamental na forma como o setor financeiro europeu aborda a resiliência operacional digital. Para entidades financeiras portuguesas, a conformidade não é opcional — as sanções por incumprimento são significativas, a supervisão está a intensificar-se e os reguladores portugueses estão a aumentar os recursos dedicados à fiscalização DORA em 2025 e 2026.
A abordagem mais eficiente e custo-efetiva combina a certificação ISO 27001 e ISO 22301 com os requisitos específicos DORA, aproveitando o trabalho já realizado nas normas ISO como base sólida para conformidade regulatória. Para entidades que ainda não iniciaram este processo, o momento de agir é agora — antes que um incidente ou uma inspeção regulatória force uma remediação de emergência com custos muito superiores.
A BALTUM apoia entidades financeiras portuguesas desde o gap analysis inicial até à conformidade completa DORA, com experiência em banca, seguros, gestão de ativos e fintechs reguladas.
Pronto para iniciar o seu programa de conformidade DORA?
A BALTUM acompanha entidades financeiras portuguesas em todo o ciclo DORA — do gap analysis à conformidade completa, incluindo suporte à certificação ISO 27001 e ISO 22301.
Falar com um especialista DORA →