Digital Operational Resilience Act (DORA) explicado
Escrito por
Liudmyla Kharchenko
Se trabalha em operações digitais, deve conhecer o Digital Operational Resilience Act (DORA). Esta legislação ajuda instituições financeiras e prestadores de serviços essenciais a prepararem-se para ciberataques ou falhas de sistema. Como é que isto afeta o seu negócio? O DORA assegura que as suas operações se mantêm estáveis e funcionais perante os desafios do ambiente digital.
Este artigo explica os pontos-chave do DORA, desde os seus objetivos e requisitos de conformidade até ao modo como afeta empresas da UE e fora da UE. Quer opere na UE ou com clientes sediados na UE, compreender o DORA é crucial para manter a resiliência num mundo cada vez mais digitalizado. Também abordaremos como o rastreio no servidor é afetado pelo DORA e como a Stape aborda este novo regulamento.
A Stape está em total conformidade com o DORA, garantindo uma proteção de dados de alto nível e fiabilidade do serviço.
O que é o DORA?
O regulamento DORA é uma legislação marcante da UE. Foi concebido para reforçar a segurança de TI e a resiliência operacional das instituições financeiras europeias. Entrou em vigor a 16 de janeiro de 2023. A conformidade com o DORA torna-se obrigatória a 17 de janeiro de 2025. O DORA é reconhecido como uma ferramenta eficaz para gerir riscos digitais no setor financeiro.
A NIS2 e o DORA são dois quadros fundamentais para a cibersegurança e resiliência digital. A primeira, a NIS2, foca-se em facilitar medidas de segurança para serviços essenciais na UE. O segundo, o Digital Operational Resilience Act, visa reforçar a resistência operacional das instituições financeiras. Juntos, desempenham um papel crucial na proteção da infraestrutura digital da Europa contra ciberameaças emergentes.
Em setembro de 2023, a Comissão Europeia clarificou a relação entre estes dois quadros na sua Diretiva NIS2:
- A Diretiva NIS2 visa setores críticos como energia, transportes, abastecimento de água, saúde e infraestrutura digital. Procura proteger estes serviços vitais através da introdução de requisitos de cibersegurança mais rigorosos e da melhoria das capacidades de resposta a incidentes.
- Em contrapartida, o DORA foi concebido para o setor financeiro, abrangendo instituições como bancos, seguradoras e empresas de investimento. Estabelece requisitos abrangentes para a gestão de riscos relacionados com as tecnologias de informação e comunicação (TIC), garantindo que as instituições financeiras conseguem resistir, responder e recuperar de perturbações relacionadas com as TIC.
Como resultado, as instituições financeiras e os prestadores de serviços de TIC na UE têm de cumprir os requisitos do DORA até 17 de janeiro de 2025. Cada Estado-Membro da UE é responsável por assegurar a conformidade, e as autoridades reguladoras designadas têm competência para exigir medidas de segurança específicas e resolver vulnerabilidades já conhecidas.
O incumprimento do regulamento pode resultar em sanções severas. Para os fornecedores de TIC "críticos" designados pela Comissão Europeia, o incumprimento pode levar a coimas de até 1% do seu volume de negócios médio diário a nível mundial no exercício financeiro anterior.
Por que razão o DORA é importante?
O setor financeiro, tanto a nível global como na Europa, está a registar um aumento acentuado de ciberataques, que fazem parte de um crescimento mais amplo das ciberameaças globais.
A Europa introduziu o Digital Operational Resilience Act para responder a esta situação. O objetivo é construir um sistema único para a ciber-resiliência e assegurar a estabilidade financeira em toda a UE. O DORA promove práticas proativas que ajudam as organizações a mitigar o impacto das ciberameaças nos seus sistemas de TIC.
O DORA foca-se na unificação dos regulamentos em toda a Europa. No passado, os países tinham abordagens individuais com regras e supervisão variáveis. Ao resolver esta falta de coesão, o DORA introduz uma abordagem consistente que apoia o objetivo europeu de maior sincronização legislativa e económica.
Para as instituições financeiras e outras entidades abrangidas, o DORA proporciona o benefício adicional de obrigações legais mais claras relativamente à cibersegurança e à resiliência. Esta clareza estende-se além-fronteiras, oferecendo orientações consistentes e reduzindo a incerteza quanto às ciberameaças.
Finalidade e objetivos do DORA
Para compreender melhor a conformidade com o DORA, analisemos detalhadamente os seus objetivos.
O DORA tem dois objetivos principais:
- 1.Estabelecer práticas abrangentes de gestão de riscos de TIC para o setor financeiro, incluindo normas para avaliação de riscos, notificação de incidentes e testes de resiliência.
- 2.Harmonizar a regulamentação sobre gestão de riscos de TIC entre os Estados-Membros da UE, criar condições de concorrência equitativas e reduzir os desafios de conformidade para entidades financeiras que operam em múltiplos países da UE.
Antes do DORA, a fragmentação das regulamentações nacionais dificultava a conformidade para as instituições financeiras transfronteiriças. O DORA resolve isso ao introduzir normas regulamentares uniformes, minimizando ambiguidades e reforçando a segurança em todo o setor financeiro da UE.
A quem se aplica o DORA?
O DORA aplica-se a mais de 22.000 instituições financeiras e serviços de TIC que operam na UE, bem como à infraestrutura de TIC que lhes dá suporte fora da UE. Tem impacto em vários intervenientes do sistema financeiro, incluindo:
- Bancos
- Companhias de seguros
- Empresas de investimento
- Processadores de pagamentos
- Bolsas de valores
- Entidades de infraestrutura de mercado
- Agências de notação de risco
- Prestadores de serviços de criptoativos
Além disso, o DORA estende-se aos prestadores de serviços críticos de TIC que apoiam estas instituições. As organizações devem identificar dependências de fornecedores terceiros de TIC e diversificar para evitar a dependência excessiva de um fornecedor único ou de um grupo restrito de fornecedores.
Requisitos do DORA explicados
Os principais requisitos do DORA são os seguintes:
1. Redução de riscos de TIC
Nos termos do Artigo 6.º, o DORA exige o estabelecimento de um quadro de gestão de riscos de TIC robusto, abrangente e bem documentado, que faça parte integrante do sistema global de gestão de riscos da instituição. Os elementos essenciais incluem:
- Identificação e avaliação de riscos. Avaliação e documentação regulares dos riscos de TIC, incluindo os decorrentes de dependências de terceiros.
- Medidas de proteção e prevenção: Devem ser implementadas estratégias, políticas e ferramentas para salvaguardar sistemas e dados, tais como soluções de acesso sem palavra-passe para mitigar riscos de phishing.
- Mecanismos de deteção. Tirar partido da tecnologia para identificar rapidamente anomalias e potenciais incidentes de segurança.
- Planeamento de resposta e recuperação. Desenvolvimento de planos de continuidade de negócio e de gestão de crises.
- Formação e melhoria. Melhorar continuamente os sistemas com base em incidentes passados e resultados de testes.
O DORA exige igualmente a nomeação de um responsável pela supervisão da gestão de riscos de TIC, garantindo uma prestação de contas clara e uma governação eficaz.
2. Notificação de incidentes
A gestão e a notificação de incidentes são aspetos centrais do DORA. As instituições precisam de criar sistemas para monitorizar e categorizar incidentes relacionados com as TIC. Nos termos do Artigo 19.º, as organizações devem apresentar:
- Um relatório inicial dentro de um prazo definido após a identificação de um incidente significativo.
- Um relatório intercalar se o estado do incidente se alterar significativamente.
- Um relatório final após a conclusão da análise das causas profundas e a avaliação do impacto do incidente.
Além disso, nos termos dos Artigos 18.º a 20.º, as organizações são obrigadas a:
- Classificar os incidentes de TIC com base em níveis de impacto predefinidos.
- Utilizar modelos normalizados para notificar incidentes às autoridades reguladoras.
- Notificar prontamente os utilizadores finais e clientes sobre incidentes graves e medidas para mitigar os impactos.
- Garantir que os relatórios são submetidos até ao final do dia útil ou no prazo de quatro horas do dia útil seguinte, se o incidente ocorrer pouco antes do final do dia.
3. Testes de resiliência operacional digital
Nos termos do Artigo 25.º, o DORA exige testes regulares dos sistemas de gestão de riscos de TIC para garantir a sua eficácia. As etapas de teste incluem:
- Avaliações de vulnerabilidade. Verificações regulares para identificar fragilidades em sistemas e aplicações.
- Avaliação de segurança da rede e da infraestrutura. Teste das defesas da rede.
- Testes de segurança de aplicações. Avaliação de software utilizado para funções críticas de negócio.
- Testes baseados em cenários. Simulação de vários cenários de ciberameaças para avaliar as capacidades de resposta.
- Testes de penetração baseados em ameaças. Testes avançados para instituições financeiras críticas, realizados pelo menos uma vez a cada três anos.
Além disso, o Artigo 26.º exige que as organizações realizem testes de penetração nos processos de TIC que suportam funções críticas, incluindo serviços subcontratados.
4. Gestão de riscos de terceiros
Reconhecendo a importância dos prestadores de serviços de TIC, o DORA introduz requisitos rigorosos de gestão de riscos de terceiros, incluindo:
- Diligência devida. Avaliação dos fornecedores de TIC antes da celebração de contratos.
- Garantias contratuais: inclusão de disposições sobre segurança, notificação de incidentes e direitos de auditoria nos contratos.
- Monitorização contínua. Avaliação regular do desempenho e das medidas de segurança de terceiros.
- Estratégias de saída. Desenvolvimento de planos para a transição de um fornecedor para outro, se necessário.
O DORA estabelece também quadros de supervisão para prestadores terceiros de serviços de TIC críticos, permitindo que as entidades de supervisão da UE monitorizem diretamente a conformidade.
5. Partilha de informações
O DORA incentiva a colaboração entre organizações financeiras de confiança para:
- Aumentar a sensibilização para os riscos relacionados com as TIC.
- Minimizar a propagação de vetores de ameaça às TIC.
- Partilhar estratégias defensivas, técnicas de mitigação e dados de inteligência sobre ameaças.
Implementação do DORA
Preparação para a conformidade com o DORA
Alcançar a conformidade com o DORA pode parecer complexo, mas torna-se gerível com uma abordagem direta. Reveja as suas práticas de cibersegurança e o plano de gestão de riscos para identificar áreas a melhorar. A formação regular de todos os colaboradores, incluindo líderes, é essencial para criar uma equipa forte e preparada.
Reveja os contratos com os prestadores de serviços de TIC para garantir que cumprem as normas do DORA. Crie um inventário detalhado de todos os acordos, incluindo serviços na nuvem e fornecedores de software, para identificar dependências e mitigar riscos. Ao adotar estas etapas estratégicas, a sua organização pode reforçar a sua resiliência operacional e alinhar-se com os requisitos do DORA.
Ao cumprirem estas medidas, as organizações podem alcançar os elevados padrões do DORA para a gestão de riscos de TIC e resiliência operacional.
DORA no Reino Unido vs. DORA na UE: existem diferenças?
O regulamento DORA introduz normas europeias unificadas de resiliência que as empresas do Reino Unido devem conhecer.
As empresas reguladas no Reino Unido têm de gerir os riscos operacionais de forma responsável e eficaz, assegurando que as suas atividades estão organizadas com sistemas robustos de gestão de riscos. As regras da Financial Conduct Authority (FCA) definem esta obrigação, que inclui disposições sobre gestão e governação, gestão de riscos, controlos internos, continuidade do negócio, planos de contingência e práticas de subcontratação.
Estes requisitos existentes estão agora a ser expandidos com novas disposições direcionadas para a resiliência operacional. O quadro de cibersegurança do DORA reforça ainda mais estas medidas, garantindo que as empresas abordam os riscos de TIC de forma abrangente e se protegem contra ameaças digitais. O regime atualizado introduz requisitos para determinados tipos de empresas e propõe alargá-los de modo a incluir prestadores de serviços não regulados pela FCA.
Regime de resiliência operacional do Reino Unido
O regime de resiliência operacional do Reino Unido adota uma abordagem aos riscos operacionais mais ampla do que o DORA da UE. Enfatiza a capacidade de uma empresa resistir a perturbações — não apenas àquelas decorrentes de incidentes digitais ou de TIC.
O quadro aplica-se a bancos, seguradoras e empresas de investimento significativas. Caso cumpram critérios específicos, os gestores de ativos também podem ser incluídos.
Ao contrário do DORA, o quadro do Reino Unido considera um leque mais vasto de riscos e adota uma abordagem mais abrangente à resiliência.
O quadro do Reino Unido abrange menos organizações do que o DORA, mas adota uma visão mais ampla da resiliência. Vai além dos riscos digitais e foca-se em ajudar as empresas a lidar com perturbações de qualquer origem.
Futuro da resiliência operacional digital
O que é a conformidade com o DORA? É apenas mais um regulamento ou uma oportunidade para repensar como as empresas abordam a resiliência e a cibersegurança? Para muitos, é um novo começo — uma oportunidade para substituir sistemas dispersos por uma abordagem unificada que cria confiança e estabilidade no mundo digital.
A conformidade com o DORA desafia as empresas a adotarem uma mentalidade proativa, a abordarem os riscos de TIC e a garantirem a resiliência em toda a cadeia de abastecimento, incluindo prestadores de serviços terceiros. O DORA incentiva as organizações a tornarem as suas operações mais resilientes a ciberameaças e alinhadas com a visão da Europa de uma economia segura e interligada.
O verdadeiro valor da conformidade com o DORA depende da resposta das empresas. Irão encará-la como um desafio ou como uma oportunidade para reforçar a resiliência e obter uma vantagem competitiva? O tempo o dirá.
DORA e rastreio server-side
O rastreio server-side ajuda as empresas a cumprirem regulamentos como o DORA, melhorando a segurança e a fiabilidade dos dados. A Stape está a trabalhar para cumprir as normas do DORA quando entrarem em vigor.
A Stape está em conformidade com as normas ISO 27001, HIPAA e RGPD para proteger os dados e garantir a privacidade. Temos o compromisso de nos mantermos atualizados quanto a novos regulamentos e de fornecer soluções de rastreio seguras e fiáveis. A Stape é um parceiro seguro e de confiança para qualquer empresa que queira proteger os seus dados enquanto tira o máximo partido da sua configuração de rastreio.
Perguntas frequentes
Quais são as normas técnicas do DORA?
O DORA estabelece normas técnicas obrigatórias para as instituições financeiras e os seus principais prestadores terceiros de serviços de TIC integrarem nos seus sistemas até 17 de janeiro de 2025.
O DORA delineia os seus requisitos técnicos em quatro áreas principais:
- Gestão e governação de riscos de TIC. É necessário estabelecer quadros robustos para gerir os riscos associados à tecnologia.
- Resposta e notificação de incidentes. É necessário assegurar processos eficazes para o tratamento e notificação de incidentes de TIC.
- Testes de resiliência operacional digital. São necessários testes regulares para avaliar a resiliência dos sistemas de TIC.
- Gestão do risco de terceiros. É necessário reforçar a supervisão de prestadores externos de tecnologia.
Embora o DORA incentive a partilha de informações para promover a resiliência coletiva, esta permanece voluntária.
Os requisitos serão aplicados proporcionalmente, tendo as entidades mais pequenas menos obrigações do que as grandes instituições financeiras. Embora as Normas Técnicas de Regulamentação (RTS) e as Normas Técnicas de Execução (ITS) específicas ainda estejam a ser desenvolvidas, a legislação já estabelece expectativas claras para a conformidade.
Existem penalizações pelo incumprimento do DORA?
Assim que as normas do DORA estiverem finalizadas e o prazo de janeiro de 2025 for atingido, os reguladores designados em cada Estado-Membro da UE, designados como "autoridades competentes", irão fazê-las cumprir. Estas autoridades terão o poder de exigir que as entidades financeiras implementem medidas de segurança específicas para resolver vulnerabilidades e satisfazer os requisitos de conformidade com o DORA. Também determinarão penalizações por incumprimento. Tais penalizações incluem sanções administrativas e, em alguns casos, penais, com base no critério de cada país.
A Comissão Europeia classifica os prestadores de TIC como "críticos", e a supervisão será assegurada diretamente pelos supervisores principais das Autoridades Europeias de Supervisão (ESAs). À semelhança das autoridades competentes, estes supervisores principais podem exigir melhorias de segurança, impor esforços de remediação e aplicar penalizações por incumprimento.
Em que é que o DORA difere de outros regulamentos de cibersegurança?
O DORA é um dos muitos regulamentos significativos de cibersegurança que entrarão em vigor nos próximos anos. A Diretiva NIS2, que se torna aplicável em outubro de 2024, também estabelece requisitos de segurança digital para as empresas e organizações europeias.
A conformidade com o DORA da UE visa padronizar a resiliência operacional e as práticas de cibersegurança no setor financeiro em todos os Estados-Membros. O DORA foi concebido à medida do setor financeiro, garantindo que as suas necessidades são atendidas. A NIS2 tem um alcance mais vasto, cobrindo todos os setores críticos, como a energia, a saúde e os transportes.
A abordagem jurídica do DORA difere da NIS2. O DORA é um Regulamento que se aplica uniformemente em todos os Estados-Membros da UE, enquanto a NIS2, como Diretiva, tem de ser transposta para a legislação nacional de cada Estado-Membro.
Embora ambos se foquem na melhoria da segurança de TI, o DORA terá precedência no setor financeiro, servindo como o principal quadro regulamentar.
As empresas fora da UE que trabalham com instituições da UE podem ser afetadas pelo DORA?
O Regulamento DORA da UE tem um impacto substancial nas organizações financeiras fora da UE, em particular naquelas que prestam serviços ou operam no mercado da UE.
Estas entidades têm de cumprir as normas do DORA para manter o acesso ao mercado e continuar a trabalhar com clientes sediados na UE. Isto traduz-se em custos acrescidos de conformidade, ajustes operacionais e possíveis mudanças de estratégia.
O DORA também tem impacto nas organizações fora da UE ao incluí-las nas cadeias de abastecimento das instituições financeiras da UE, aplicando requisitos rigorosos em todo o ecossistema.
Como resultado, a influência do DORA estende-se para além da UE. Molda o setor financeiro global e enfatiza a importância da resiliência operacional em todo o mundo.
A Stape está em conformidade com o DORA?
A Stape está em total conformidade com o DORA, garantindo que cumprimos os mais elevados padrões de proteção de dados e fiabilidade do serviço. Compreendemos a importância do DORA e o seu papel na salvaguarda da integridade dos serviços digitais em toda a UE. Pode encontrar informações detalhadas sobre a nossa conformidade no nosso Trust Center, onde demonstramos a nossa dedicação à resiliência operacional e à proteção dos dados dos utilizadores.
Em resumo
Num mundo em que as ciberameaças se tornam mais frequentes e intensas, temos de fazer o que for necessário para construir um escudo forte contra elas. Regulamentos como o DORA ajudam as empresas a prepararem-se para os riscos e a geri-los em conformidade. O objetivo do DORA é manter os sistemas seguros, proteger os dados dos clientes e funcionar durante períodos instáveis.
Recursos
Deseja mudar para o lado do servidor?
Pode fazê-lo gratuitamente na Stape! Clique em Experimentar grátis e explore as vantagens!
Experimentar grátis
Comentários