O DORA é o regulamento europeu sobre a resiliência operacional digital do setor financeiro. Aqui ficam o âmbito, os cinco pilares, as datas que contam e o que o texto diz sobre supervisão e sanções.
DORA, sigla de Digital Operational Resilience Act, é o Regulamento (UE) 2022/2554, de 14 de dezembro de 2022. Sendo um regulamento, aplica-se diretamente em todos os Estados-Membros, sem transposição nacional.
Cria um quadro único para a resiliência operacional digital: a capacidade de uma entidade financeira para criar, assegurar e reavaliar a sua integridade e fiabilidade operacionais, inclusive em alturas de perturbações.
As normas técnicas de regulamentação e de execução (RTS e ITS) das Autoridades Europeias de Supervisão concretizam cada obrigação.
O artigo 2.º cobre praticamente todo o setor financeiro da União: instituições de crédito, instituições de pagamento e de moeda eletrónica, empresas de investimento, prestadores de serviços de criptoativos, empresas de seguros e de resseguros, sociedades gestoras de fundos e plataformas de negociação, entre outras.
Um terceiro prestador de serviços de TIC não fica diretamente sujeito ao regulamento: as exigências chegam-lhe pelo contrato com o cliente, ao abrigo dos artigos 28.º a 30.º. Só o prestador designado como terceiro prestador de serviços de TIC crítico passa a estar sob superintendência direta.
A proporcionalidade pesa: uma microempresa segue um quadro simplificado de gestão do risco associado às TIC, mas continua dentro do âmbito.
Comece pela classificação das suas funções críticas ou importantes: é ela que determina o alcance dos pilares 2, 3 e 4.
A fase de arranque terminou. O trabalho passou a ser de prova: dossiês que resistam a uma inspeção no local.
A supervisão corre em duas linhas. A nível nacional, as autoridades competentes acompanham as entidades financeiras: em Portugal, o Banco de Portugal, a CMVM e a ASF, consoante o setor. Podem aceder a qualquer documento, realizar inspeções no local e exigir medidas corretivas (artigo 50.º).
A nível da União, as Autoridades Europeias de Supervisão (EBA, ESMA e EIOPA) conduzem a superintendência dos terceiros prestadores de serviços de TIC críticos. Cada prestador designado tem uma autoridade fiscalizadora principal, que pode solicitar informações, realizar investigações e emitir recomendações, nomeadamente sobre subcontratação e risco de concentração no domínio das TIC.
O artigo 50.º impõe aos Estados-Membros que estabeleçam sanções administrativas e medidas corretivas eficazes, proporcionadas e dissuasivas: emitir uma injunção para que a conduta cesse, exigir a cessação de práticas contrárias ao regulamento e adotar medidas, nomeadamente de natureza pecuniária, que assegurem o cumprimento. O artigo 52.º ressalva o direito dos Estados-Membros a imporem sanções penais.
Para as entidades financeiras, o regulamento não fixa qualquer limite máximo à escala da União expresso em percentagem do volume de negócios. O teto resulta do direito nacional do Estado-Membro onde a entidade é supervisionada.
Uma única percentagem consta do próprio texto, no artigo 35.º: a autoridade fiscalizadora principal pode aplicar a um terceiro prestador de serviços de TIC crítico designado uma sanção pecuniária compulsória de até 1 % do volume de negócios diário médio a nível mundial no exercício anterior, diariamente e por um máximo de seis meses. Atinge apenas prestadores designados, nunca entidades financeiras. O limite de dois por cento do volume de negócios que tantas vezes se repete não consta do DORA.
Começar pelo registo de informações →
DORA significa Digital Operational Resilience Act e designa o Regulamento (UE) 2022/2554: um quadro único para a resiliência operacional digital do setor financeiro, diretamente aplicável em todos os Estados-Membros.
O DORA entrou em vigor em 16 de janeiro de 2023 e aplica-se desde 17 de janeiro de 2025. Desde essa data, as entidades abrangidas devem cumprir as obrigações e conseguir demonstrá-lo perante a autoridade competente.
Um terceiro prestador de serviços de TIC não está diretamente sujeito ao DORA. As exigências chegam-lhe pelas disposições contratuais dos artigos 28.º a 30.º, que vinculam a entidade financeira. Só o terceiro prestador de serviços de TIC crítico designado fica sob superintendência direta.
O DORA é lex specialis para o setor financeiro e prevalece, no seu âmbito, sobre a Diretiva (UE) 2022/2555 (NIS2), que abrange muitos mais setores e é transposta Estado a Estado. Um prestador de TIC pode, esse sim, ficar sujeito à NIS2 enquanto infraestrutura digital.
O artigo 50.º entrega as sanções administrativas ao direito nacional: para as entidades financeiras, o DORA não fixa um limite em percentagem do volume de negócios. Para o terceiro prestador de serviços de TIC crítico designado, o artigo 35.º prevê uma sanção pecuniária compulsória de até 1 % do volume de negócios diário médio a nível mundial, por um máximo de seis meses.
É o registo obrigatório de todos os acordos contratuais sobre a utilização de serviços de TIC prestados por terceiros. Mantém-se ao nível da entidade e aos níveis subconsolidado e consolidado, distingue os acordos que apoiam funções críticas ou importantes e é disponibilizado à autoridade competente.
Esta página é um apoio técnico, não constitui aconselhamento jurídico. · Versão inglesa