Traduzimos o Regulamento (UE) 2022/2554 em trabalho executável: ferramentas gratuitas, as RTS e as ITS descodificadas e guias por etapas. Perceba em que ponto está e qual é o passo concreto seguinte.
O Regulamento (UE) 2022/2554, conhecido por DORA (Digital Operational Resilience Act), estabelece um quadro único na União Europeia para a resiliência operacional digital do setor financeiro. É aplicável desde 17 de janeiro de 2025 e abrange a gestão do risco associado às TIC (tecnologias de informação e comunicação), a comunicação de incidentes, os testes de resiliência e os terceiros prestadores de serviços de TIC.
Se está a começar, leia a nossa introdução ao DORA, que explica o âmbito e as obrigações essenciais.
O regulamento organiza as exigências de qualquer entidade financeira em cinco pilares:
O DORA é concretizado por normas técnicas de regulamentação (RTS) e normas técnicas de execução (ITS) elaboradas pelas Autoridades Europeias de Supervisão (AES). Detalham o quadro de gestão do risco, os critérios de classificação dos incidentes, os modelos do registo de informações e as regras da subcontratação.
A nossa página das normas RTS e ITS reúne cada norma descodificada, com listas de verificação e o artigo que lhe dá origem.
Para além da leitura, a plataforma tem ferramentas interativas gratuitas:
Funcionam no navegador, sem criar conta. O construtor do registo e o gerador de relatórios são gratuitos para construir e para a notificação inicial; a exportação e os relatórios intercalar e final exigem licença.
O artigo 2.º enumera as entidades financeiras abrangidas: instituições de crédito, instituições de pagamento e de moeda eletrónica, empresas de investimento, empresas de seguros e de resseguros, gestores de fundos, prestadores de serviços de criptoativos, contrapartes centrais e centrais de valores mobiliários.
Os terceiros prestadores de serviços de TIC não ficam diretamente sujeitos ao regulamento: as exigências chegam-lhes por via contratual (artigos 28.º a 30.º). Apenas os designados como críticos nos termos do artigo 31.º passam a estar sob a superintendência direta de uma autoridade fiscalizadora principal. As microempresas e as entidades referidas no artigo 16.º seguem um quadro simplificado de gestão do risco associado às TIC.
Uma sequência que evita trabalho perdido:
Comece pelos fundamentos do DORA →
Desde 17 de janeiro de 2025. O Regulamento (UE) 2022/2554 entrou em vigor em janeiro de 2023 e concedeu dois anos de preparação. As normas técnicas RTS e ITS que o completam foram publicadas desde então.
O âmbito do artigo 2.º é largo: bancos, seguradoras, empresas de investimento, instituições de pagamento, gestores de fundos e prestadores de serviços de criptoativos, entre outros. Se a sua atividade consta dessa lista, está abrangida, e os seus terceiros prestadores de serviços de TIC entram no perímetro pela via contratual.
Gestão do risco associado às TIC, gestão e comunicação de incidentes relacionados com as TIC, testes de resiliência operacional digital (incluindo os TLPT), gestão do risco associado às TIC devido a terceiros e partilha voluntária de informação sobre ciberameaças.
São atos das Autoridades Europeias de Supervisão que detalham as obrigações gerais do regulamento: quadro de gestão do risco, critérios de classificação dos incidentes, modelos do registo de informações e requisitos de subcontratação.
O artigo 19.º prevê três momentos junto da autoridade competente. A norma técnica fixa a notificação inicial em quatro horas após a classificação (e no máximo 24 horas após a deteção), o relatório intercalar até 72 horas após a notificação inicial e o relatório final no prazo de um mês após o relatório intercalar.
O artigo 50.º entrega aos Estados-Membros a definição das sanções administrativas e das medidas corretivas, sem teto fixado a nível da União para as entidades financeiras: o montante depende do direito nacional e da autoridade competente. A única percentagem inscrita no regulamento consta do artigo 35.º e visa apenas os terceiros prestadores de serviços de TIC críticos: sanções pecuniárias compulsórias até 1 % do volume de negócios diário médio a nível mundial.
Esta página é um apoio técnico, não constitui aconselhamento jurídico. · Versão inglesa