As obrigações do DORA são concretizadas por normas técnicas de regulamentação (RTS) e de execução (ITS). Aqui ficam as principais, com a referência oficial de cada uma e o que impõem.
O DORA, o Regulamento (UE) 2022/2554, fixa os princípios. São as normas técnicas que definem a sua aplicação operacional, em duas categorias:
São elaboradas pelas Autoridades Europeias de Supervisão (AES: EBA, ESMA e EIOPA), através do Comité Conjunto, e adotadas pela Comissão sob a forma de regulamentos delegados (RTS) ou de execução (ITS). Enquanto regulamentos, aplicam-se diretamente nos 27 Estados-Membros, sem transposição nacional, e são exigíveis desde 17 de janeiro de 2025. Para o enquadramento geral, ver o que é o DORA.
O Regulamento Delegado (UE) 2024/1774 desenvolve o mandato do artigo 15.º e o quadro simplificado do artigo 16.º, n.º 3. Detalha:
O quadro simplificado alivia a documentação exigida às entidades elegíveis, mas preserva os princípios essenciais.
O Regulamento Delegado (UE) 2024/1772 fixa os critérios e os limiares de materialidade que determinam se um incidente relacionado com as TIC é de caráter severo e, por isso, comunicável: clientes afetados, duração, extensão geográfica, perdas de dados e impacto económico. O mesmo ato define quando uma ciberameaça significativa pode ser notificada a título voluntário.
O Regulamento Delegado (UE) 2025/301 estabelece o conteúdo e os prazos da notificação inicial, do relatório intercalar e do relatório final; o Regulamento de Execução (UE) 2025/302 aprova os formulários e modelos normalizados. Ambos foram publicados no Jornal Oficial em 20 de fevereiro de 2025. Para a aplicação prática, ver a comunicação de incidentes.
O Regulamento de Execução (UE) 2024/2956 aprova os modelos normalizados do registo de informações exigido pelo artigo 28.º, n.º 3, sobre todos os acordos contratuais relativos à utilização de serviços de TIC prestados por terceiros.
É este registo que alimenta a identificação dos prestadores críticos. O detalhe completo está na página registo de informações.
Quatro atos enquadram o risco associado às TIC devido a terceiros:
Um prestador não designado não fica diretamente sujeito ao DORA: as exigências chegam-lhe pelo contrato.
O Regulamento Delegado (UE) 2025/1190, em vigor desde 8 de julho de 2025, concretiza o artigo 26.º e alinha os testes de penetração baseados em ameaças (TLPT) pelo quadro TIBER-EU. Especifica:
O artigo 26.º impõe TLPT pelo menos de três em três anos às entidades identificadas, e o âmbito exato é validado pela autoridade competente. Ver a nossa página sobre os TLPT.
Crie o seu registo de informações →
Uma norma técnica de regulamentação (RTS) especifica o conteúdo e os métodos de uma obrigação do DORA. Uma norma técnica de execução (ITS) fixa formatos, modelos e procedimentos uniformes. Ambas são adotadas como regulamentos da Comissão e são juridicamente vinculativas.
O primeiro conjunto aplica-se desde 17 de janeiro de 2025, juntamente com o DORA. O segundo conjunto completou-se ao longo de 2025: comunicação de incidentes e superintendência em fevereiro, TLPT em vigor a 8 de julho e subcontratação a 22 de julho de 2025.
O Regulamento Delegado (UE) 2024/1772. Fixa os critérios de classificação dos incidentes relacionados com as TIC, como o número de clientes afetados, a duração, a extensão geográfica, as perdas de dados e o impacto económico, bem como os limiares de materialidade.
O Regulamento de Execução (UE) 2024/2956 impõe modelos normalizados e interligados em formato xBRL-CSV, com vocabulários controlados como o identificador LEI e os códigos ISO de país e de moeda. Os acordos que apoiam funções críticas ou importantes são identificados separadamente.
Não. Os testes de penetração baseados em ameaças abrangem apenas as entidades identificadas pela autoridade competente segundo critérios de risco, com exclusão das microempresas. Essas entidades realizam TLPT pelo menos de três em três anos.
Os atos são publicados no Jornal Oficial da União Europeia como regulamentos delegados (RTS) ou de execução (ITS) e ficam consultáveis no EUR-Lex, nas 24 línguas oficiais. As AES publicam também os projetos e os relatórios finais.
Use o número exato do ato e o artigo: «a norma sobre subcontratação» é ambíguo, «Regulamento Delegado (UE) 2025/532, artigo 5.º» não é. A referência precisa poupa tempo numa inspeção no local.
Esta página é um apoio técnico, não constitui aconselhamento jurídico. · Versão inglesa