🔑 Pontos principais
- A conformidade com a DORA na AWS é obrigatória: a Lei de Resiliência Operacional Digital da UE (DORA, Regulamento 2022/2554) se aplica a instituições financeiras e a seus prestadores de serviços de TIC desde 17 de janeiro de 2025.
- A AWS fornece ferramentas habilitadoras, não conformidade automática: no Modelo de Responsabilidade Compartilhada, a AWS protege a infraestrutura em nuvem, enquanto os clientes precisam configurar controles, relato de incidentes e supervisão de terceiros.
- Principais serviços da AWS para a DORA: Security Hub, Config, GuardDuty, CloudTrail, Audit Manager, Resilience Hub e AWS Fault Injection Service ajudam no gerenciamento de riscos de TIC, no monitoramento e nos testes de resiliência.
- Requisitos críticos da DORA: gerenciamento de riscos de TIC, relato obrigatório de incidentes (em até 4 horas após a detecção, seguido de relatórios em 72 horas e em 1 mês), testes de resiliência, gerenciamento de riscos de terceiros e compartilhamento de informações.
- Ainda há lacunas de conformidade: a AWS continua trabalhando com as Autoridades Europeias de Supervisão para esclarecer termos (como “subcontratado de TIC”) e refinar requisitos como os testes de invasão orientados por ameaças (TLPT, normalmente a cada 3 anos).
Neste guia, explicamos como funciona a conformidade com a DORA na AWS (Amazon Web Services) e qual é a melhor forma de alcançá-la, principalmente para entidades financeiras da União Europeia (UE) que trabalham de perto com fornecedores de tecnologias de informação e comunicação (TIC).
Vale lembrar que mantivemos este guia o mais enxuto possível, com apenas uma visão geral de como obter conformidade com a DORA usando a AWS. Para um aprofundamento, recomendamos a leitura do Guia do usuário da AWS sobre a Lei de Resiliência Operacional Digital (DORA).
💡Se você aprende melhor com conteúdo visual, assista ao nosso vídeo Tudo o que você precisa saber sobre a conformidade com a DORA na AWS
O que é a DORA (Lei de Resiliência Operacional Digital)?
A DORA, ou Lei de Resiliência Operacional Digital, é um marco legislativo criado pelo Regulamento 2022/2554. O objetivo é fortalecer as estratégias de resiliência operacional e cibernética, especialmente nas instituições financeiras.
A lei detalha requisitos rigorosos para que organizações terceirizadas de TIC protejam a si mesmas e aos usuários finais contra agentes de ameaças, com foco em resistir, responder e se recuperar rapidamente de ciberataques comuns e de ameaças em evolução. Isso inclui reservar capital para cobrir perdas potenciais. Também publicamos o guia “O que é conformidade com a Lei de Resiliência Operacional Digital (DORA)”.
Por que isso importa? Veja alguns dados do Global Cybersecurity Outlook 2025, do Fórum Econômico Mundial:
- 49% das organizações do setor público afirmam não ter os recursos necessários para cumprir suas metas de cibersegurança — um aumento preocupante em relação aos 33% de 2024.
- 35% das pequenas organizações consideram suas estratégias de resiliência cibernética inadequadas — sete vezes mais do que em 2022.
- 15% dos entrevistados da Europa e da América do Norte não confiam na capacidade do próprio país de responder a ciberataques sofisticados.
- Um em cada três CEOs diz que a perda de propriedade intelectual é sua maior preocupação, seja por agentes externos, seja por ameaças internas.
A DORA exigiu conformidade das instituições financeiras até 17 de janeiro de 2025. Entidades financeiras e seus respectivos terceiros de TIC (Registros de informações — RoI) precisam reportar às autoridades competentes para determinar o nível atual de conformidade e como melhorá-lo ou mantê-lo. O descumprimento dos requisitos pode gerar multas pesadas e consequências legais. (A lista completa de atualizações da DORA está no site oficial).
Para saber mais sobre a DORA, assista ao nosso guia em vídeo: O que é a conformidade com a Lei de Resiliência Operacional Digital (DORA)?
Serviços da AWS e recursos de conformidade para a DORA
Em resposta, a Amazon publicou uma carta detalhando a segurança da AWS para serviços financeiros. A AWS ajuda as organizações a atender a esses padrões regulatórios com um amplo conjunto de ferramentas de segurança, conformidade e resiliência, incluindo testes de invasão orientados por ameaças (TLPT) e relato de incidentes de TIC.
Falaremos disso mais adiante, em “Como a AWS apoia a conformidade com a DORA”.
Melhore o gerenciamento de riscos de TIC e mantenha a conformidade com os padrões da DORA usando NinjaOne.
Entenda os requisitos de conformidade da DORA
Já escrevemos um guia mais detalhado sobre os 5 pilares do regulamento DORA, mas aqui vai um resumo:
- Gerenciamento de riscos de TIC: as organizações precisam desenvolver uma estrutura robusta de gerenciamento de riscos de TIC, com estratégias, políticas e ferramentas para proteger todos os ativos de TIC, incluindo software, hardware e servidores.
- Relato de incidentes: as organizações precisam comunicar todos os incidentes graves relacionados a TIC às autoridades competentes. As entidades financeiras também devem manter um registro detalhado de todos os incidentes cibernéticos.
- Testes de resiliência: as organizações devem testar regularmente a solidez de seus sistemas de TIC para garantir a continuidade dos negócios e manter a eficiência operacional.
- Gerenciamento de riscos de terceiros: as entidades financeiras precisam garantir que seus RoIs atendam aos requisitos regulatórios da DORA.
- Compartilhamento de informações: as organizações são incentivadas a colaborar e compartilhar estratégias de cibersegurança para construir uma resiliência coletiva.
Como a AWS ajuda instituições financeiras a cumprir a DORA
A AWS opera sob um Modelo de Responsabilidade Compartilhada: a AWS cuida da segurança da infraestrutura em nuvem, enquanto os clientes respondem pela proteção dos próprios dados dentro da nuvem.
Isso acompanha de perto as exigências regulatórias da DORA, mas também significa que cada instituição financeira e seu RoI precisam fazer os ajustes necessários por conta própria. Os clientes da AWS devem procurar sua equipe de conta para discutir os requisitos específicos de conformidade com a DORA.
- TLPT: a AWS pode apoiar os clientes nos requisitos de TLPT previstos pela DORA. Todas as informações sensíveis são compartilhadas com as autoridades competentes apenas quando há necessidade real de acesso.
- Relato de incidentes de TIC: por causa do Modelo de Responsabilidade Compartilhada, a AWS não tem visibilidade total sobre os dados enviados à conta de um cliente. Ainda assim, pode ajudar os clientes a gerenciar com segurança as informações sensíveis e o relato desses dados.
Vale notar que a AWS ainda está refinando os requisitos da DORA junto às Autoridades Europeias de Supervisão (ESAs), já que algumas disposições precisam de maior detalhamento. A equipe de gerenciamento da AWS, por exemplo, sugeriu esclarecer melhor a definição de “subcontratado de TIC” para evitar ruídos de comunicação e punições indevidas a milhares de subcontratados.
Mesmo assim, a AWS oferece vários documentos prescritivos para a preparação à DORA, como orientações sobre como construir uma estrutura de ciclo de vida de resiliência.
💡A AWS possui diversas certificações de segurança e conformidade reconhecidas internacionalmente, como ISO 27001, SOC 2 e outras atestações. A AWS também disponibiliza orientações e artefatos para ajudar os clientes a cumprir as obrigações do GDPR em seus próprios ambientes.
Ferramentas e serviços da AWS para conformidade com a DORA
Ao buscar serviços que ajudem com a “Lei de Resiliência Operacional Digital AWS”, você encontrará o seguinte:
Gerenciamento de riscos e resiliência
- O AWS Security Hub oferece um local central para gerenciar segurança e conformidade e ajuda as organizações a detectar vulnerabilidades de segurança em tempo real.
- O AWS Config monitora continuamente as mudanças de configuração nos recursos da AWS.
- O AWS Backup permite políticas automatizadas de backup, aumentando a resiliência contra perda de dados.
Relato de incidentes e monitoramento
- O AWS CloudTrail registra as chamadas de API da AWS e ajuda a rastrear acessos não autorizados e alterações nos ambientes em nuvem.
- O Amazon GuardDuty usa machine learning para analisar atividades na nuvem e detectar comportamentos suspeitos.
- O AWS Audit Manager avalia sua postura de conformidade automatizando a coleta de evidências e simplificando auditorias.
Testes de resiliência
- O AWS Fault Injection Simulator (AWS FIS) cria experimentos controlados de engenharia do caos para você testar como suas aplicações reagem a falhas.
- O AWS Resilience Hub ajuda as organizações a identificar pontos fracos nos planos de backup e recuperação de desastres e se integra ao AWS FIS para experimentos de caos.
Gerenciamento de riscos de terceiros
- O AWS Marketplace pode ajudar a alcançar a conformidade com a DORA na AWS oferecendo uma seleção de soluções de segurança de terceiros já avaliadas.
- O AWS Control Tower ajuda a manter as melhores práticas de segurança ao usar a AWS em escala.
Como implementar a conformidade com a DORA na AWS
Estas etapas recomendadas mostram como implementar os requisitos da DORA na AWS.
⚠️ Lembre-se de que ainda não existem regras exatas a seguir, já que a AWS continua refinando os requisitos de conformidade com a DORA. As etapas abaixo são apenas recomendações. Fale com o gerente da sua conta AWS para obter instruções mais específicas.
- Avalie sua postura de segurança atual: faça uma análise de lacunas completa para identificar fragilidades de segurança e deficiências regulatórias. Vale mapear os controles de segurança existentes em relação aos requisitos da DORA.
- Implemente os controles de segurança necessários: a AWS oferece vários serviços para aplicar controles de segurança, como o AWS Key Management Service e o AWS Identity and Access Management. Para reforçar ainda mais a segurança, recomendamos implementar autenticação multifator (MFA) e aplicar políticas de acesso de privilégio mínimo.
- Configure monitoramento e relato de incidentes: use o AWS CloudTrail e o Amazon GuardDuty para monitorar continuamente seu ambiente AWS. Automatizar o relato de incidentes garante o cumprimento dos prazos rigorosos da DORA.
- Faça testes de resiliência com regularidade: considere realizar testes de invasão periódicos, simulações de recuperação de desastres e mecanismos automatizados de failover para que a organização continue operando mesmo diante de um ciberataque ou falha de sistema.
- Gerencie o risco de terceiros: o AWS Control Tower ajuda a padronizar práticas em várias contas AWS, enquanto o AWS Audit Manager otimiza e simplifica auditorias de terceiros.
- Automatize o monitoramento de conformidade: é altamente recomendável usar automação para reduzir o peso das verificações manuais de conformidade e garantir que os controles de segurança continuem eficazes. Avalie usar o AWS Config e o AWS Audit Manager para aplicar os requisitos regulatórios automaticamente.
Desafios da conformidade com a DORA na AWS e como resolvê-los
Gerenciar ambientes multinuvem e híbridos
Hoje, a maioria das entidades financeiras combina provedores de nuvem, infraestrutura local e soluções de nuvem híbrida, o que dificulta o gerenciamento de riscos de TIC. Para resolver isso, recomendamos garantir políticas de segurança uniformes e estruturas de governança padronizadas em todas as plataformas.
Garantir testes de resiliência de ponta a ponta na AWS
Os testes de resiliência precisam cobrir todos os aspectos do ambiente de TIC, mas executá-los em vários sistemas pode ser complexo. Para resolver isso, considere criar uma estrutura de segurança estruturada para simular interrupções de forma eficaz. Você também pode usar o AWS Resilience Hub para ter uma abordagem unificada de testes de resiliência.
Lidar com o gerenciamento de riscos de terceiros
Uma parte significativa dos requisitos regulatórios da DORA trata de prestadores de serviços terceirizados. Essa segmentação de entidades pode dificultar o cumprimento da DORA. Recomendamos usar o AWS Audit Manager e o AWS Marketplace para monitorar a conformidade de terceiros. Também vale conduzir avaliações de risco de fornecedores detalhadas para minimizar riscos.
Automatizar a conformidade sem perder o controle
A automação simplifica a conformidade, mas sempre existe o risco de lacunas de segurança ou configurações incorretas passarem despercebidas — principalmente quando a empresa depende demais de ferramentas automatizadas. Vale adotar uma abordagem em camadas, combinando verificações automáticas de conformidade com auditorias manuais de segurança. O AWS Config e o AWS Security Hub também ajudam aqui.
Identifique as lacunas no gerenciamento de riscos de TIC na AWS e
Como garantir a conformidade com a DORA na AWS
Instituições financeiras que operam na UE precisam cumprir a DORA. Como a norma ainda é recente, restam dúvidas sobre como ela afeta quem usa a AWS. A Amazon Web Services tem um conjunto robusto de ferramentas para atender a essas disposições com eficiência, mas o ideal é conversar com sua equipe de conta dedicada para saber exatamente o que fazer e construir um ambiente em nuvem seguro e em conformidade.
