O DORA impõe um processo estruturado de comunicação dos incidentes de caráter severo relacionados com as TIC. Eis os critérios de classificação, os prazos e os modelos harmonizados a utilizar.
Os artigos 17.º a 23.º do Regulamento (UE) 2022/2554 estabelecem um processo harmonizado de gestão e comunicação dos incidentes relacionados com as TIC. Na prática, uma entidade financeira alimenta três fluxos distintos.
| Fluxo | Base jurídica | Prazo |
|---|---|---|
| Incidente de caráter severo relacionado com as TIC | Artigo 19.º, classificação nos termos do RTS 2024/1772 | 4 h, 72 h, um mês |
| Ciberameaça significativa | Artigo 19.º, n.º 2, a título voluntário | Logo que seja possível |
| Registo de informações | Artigo 28.º, n.º 3, e ITS 2024/2956 | Anualmente, até 30 de abril |
Só o primeiro é obrigatório e contado em horas. Confundir os três é a origem de boa parte dos atrasos.
O Regulamento Delegado (UE) 2024/1772 fixa os critérios e os limiares que tornam um incidente de caráter severo, ou seja, com elevado impacto negativo nos sistemas de rede e informação que apoiam funções críticas ou importantes. São sete:
O incidente é de caráter severo quando aciona pelo menos dois critérios principais, ou um critério principal e o limiar de impacto económico, fixado em EUR 100 000 de custos e perdas brutos.
Classificado o incidente como de caráter severo, aplicam-se três prazos sucessivos. O relógio começa a contar no momento da classificação, não no da deteção.
A classificação tem de ser feita sem demora injustificada. Um procedimento que a deixe correr três dias esvazia o prazo de 4 horas: fixe um limite interno de 24 horas após a deteção.
O conteúdo de cada comunicação é normalizado pelas normas técnicas associadas ao Regulamento (UE) 2025/301: um modelo para a notificação inicial, um para o relatório intercalar, um para o final e um para as ciberameaças significativas.
Os campos cobrem a identificação da entidade, a cronologia do incidente, os serviços e as zonas geográficas afetados, as causas profundas e as medidas de correção. O nosso gerador de relatórios de incidente estrutura estas informações segundo os modelos oficiais.
A comunicação é dirigida à autoridade competente nacional de que depende a entidade. Em Portugal, consoante o estatuto: Banco de Portugal, CMVM ou ASF. Quando a entidade é supervisionada por mais do que uma autoridade, o Estado-Membro designa uma só como ponto de entrada.
As instituições de crédito classificadas como significativas comunicam à autoridade nacional competente, que transmite de imediato o relatório ao BCE. Esta encaminha depois a informação para as Autoridades Europeias de Supervisão e, se for caso disso, para a ENISA.
Prepare o acesso ao portal fora de um incidente: credenciais registadas, submissão de ensaio, procedimento escrito no plano de resposta.
O artigo 19.º, n.º 2 permite que a entidade financeira notifique, a título voluntário, as ciberameaças significativas que considere relevantes para o sistema financeiro: aquelas cujas características técnicas indicam que podem dar origem a um incidente de caráter severo, ainda que nada se tenha materializado.
Usa o mesmo canal e um modelo próprio: descrição da ameaça, táticas, técnicas e procedimentos observados, indicadores de compromisso, funções afetadas e medidas de mitigação. Não há obrigação nem prazo, mas é o que sustenta o pilar de partilha de informações.
Preparar um relatório de incidente →
Apenas os incidentes classificados como de caráter severo na aceção do RTS 2024/1772 são de comunicação obrigatória. A classificação assenta em sete critérios, entre eles os clientes e transações afetados, a duração, as perdas de dados e o impacto económico.
A notificação inicial é devida até 4 horas após a classificação como de caráter severo e, em qualquer caso, até 24 horas após a deteção. O relatório intercalar é devido até 72 horas após a classificação e o relatório final até um mês depois do intercalar.
Os modelos harmonizados definidos pelas normas técnicas associadas ao Regulamento (UE) 2025/301, aplicáveis à notificação inicial, ao relatório intercalar e ao relatório final. Normalizam os campos obrigatórios de cada comunicação.
À autoridade competente de que depende a entidade: Banco de Portugal, CMVM ou ASF, consoante o estatuto. Quando várias autoridades supervisionam a mesma entidade, o Estado-Membro designa uma só como ponto de entrada.
Não. A notificação de ciberameaças significativas é voluntária, nos termos do artigo 19.º, n.º 2. É encorajada porque sustenta a deteção precoce e a partilha de informações entre entidades financeiras.
Não. O registo de informações é uma comunicação anual sobre os acordos contratuais de serviços de TIC, prevista no artigo 28.º, n.º 3, com formato e prazo próprios.
Esta página é um apoio técnico, não constitui aconselhamento jurídico. · Versão inglesa