O DORA, Regulamento (UE) 2022/2554 sobre a resiliência operacional digital do setor financeiro, obriga as entidades financeiras abrangidas a gerir o risco das tecnologias da informação e comunicação (TIC): incidentes, testes de resiliência e fornecedores tecnológicos. Aplica-se desde 17 de janeiro de 2025. Não é uma certificação nem se cumpre comprando uma ferramenta.
Esta ficha é informação geral e não constitui aconselhamento jurídico. Verificada a 15 de outubro de 2026 face ao texto do Regulamento no Jornal Oficial da UE (cópia publicada pelo BOE espanhol), em particular os artigos 2.º, 4.º, 17.º, 19.º, 24.º, 26.º, 28.º, 30.º, 31.º e 64.º.
A quem se aplica
O artigo 2.º enumera as entidades abrangidas: instituições de crédito, de pagamento e de moeda eletrónica, empresas de investimento, seguradoras e gestores de fundos, entre outras, com algumas exclusões. Trabalhar para o setor financeiro não torna por si só uma empresa numa entidade financeira. As regras aplicam-se de forma proporcionada à dimensão e ao perfil de risco (artigo 4.º), o que não constitui uma isenção geral.
O que exige
O Regulamento assenta sobretudo em quatro blocos: um quadro documentado de gestão do risco de TIC; a gestão de todos os incidentes de TIC e a notificação dos graves à autoridade competente (artigos 17.º e 19.º); um programa de testes de resiliência, não exigido como tal às microempresas, com testes pelo menos anuais dos sistemas que suportam funções críticas ou importantes e, para as entidades que a autoridade designar, testes avançados de penetração baseados em ameaças pelo menos de três em três anos (artigos 24.º e 26.º); e a gestão do risco dos prestadores terceiros de serviços de TIC.
Isto inclui um registo de todos os acordos contratuais com esses prestadores (artigo 28.º) e cláusulas mínimas nos contratos (artigo 30.º): serviços, locais de tratamento de dados, assistência em incidentes, recuperação de dados e cessação. A entidade continua responsável pelo cumprimento mesmo que subcontrate.
Exemplo
Exemplo ilustrativo, não um caso real. Uma entidade financeira abrangida pelo DORA aloja a sua plataforma num prestador de serviços de cloud. Tem de registar esse acordo, distinguir se suporta uma função crítica ou importante, verificar que o contrato contém as cláusulas exigidas e confirmar que consegue recuperar os dados se o prestador falhar.
Limites
O DORA é completado por normas técnicas e pela supervisão de cada autoridade, e esses textos evoluem: confirme sempre os que estão em vigor. Só os prestadores de TIC designados como críticos pelas autoridades europeias (artigo 31.º) ficam sob a sua supervisão direta; os restantes são afetados sobretudo por via contratual.
Quando chamar um especialista
Peça ajuda se não sabe se a sua entidade está abrangida pelo DORA, se um cliente financeiro lhe envia um anexo ou um questionário ou se não está claro como se recuperam os sistemas após um incidente grave. O âmbito e as obrigações concretas devem ser confirmados pela sua equipa de conformidade ou por um profissional do direito.
Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos acessos, cópias de segurança e recuperação, aplicamos os controlos técnicos em falta e formamos a equipa. Não prestamos aconselhamento jurídico; o nosso trabalho é técnico e formativo. Consulte o nosso serviço de cibersegurança, a página de serviços financeiros (informação setorial, não um serviço de conformidade com o DORA) ou conte-nos o seu caso.
Saber mais
Termos relacionados do glossário: NIS2, ISO 27001 e RPO e RTO.
Fontes oficiais: o Regulamento (UE) 2022/2554 no Jornal Oficial (cópia em espanhol), a página da ESMA sobre o DORA e a da EBA, ambas em inglês.