O que é a conformidade com o Digital Operational Resilience Act (DORA)

À medida que as instituições financeiras dependem mais da tecnologia, melhorar a resiliência operacional e reforçar a proteção de dados se torna mais urgente. Esses padrões são definidos por regulamentações como o Digital Operational Resilience Act (DORA).

Este artigo analisa a regulamentação DORA, seus principais requisitos e como alcançar a conformidade do setor financeiro na UE. Para uma explicação visual rápida, assista ao nosso guia em vídeo sobre O que é a conformidade com o Digital Operational Resilience Act (DORA)?

O que é o Digital Operational Resilience Act (DORA)?

O Digital Operational Resilience Act é uma estrutura abrangente que impõe métodos de gerenciamento de riscos para garantir a capacidade das instituições financeiras da UE de resistir a ciberataques.

Antes de sua implementação, bancos, seguradoras e grandes investidores adotavam protocolos simples e pouco rigorosos para se preparar para incidentes cibernéticos, como reservar capital para cobrir possíveis perdas. Além disso, as regulamentações anteriores à DORA variavam entre os Estados-membros da UE, o que gerava inconsistências.

Com a União Europeia aplicando a DORA desde 2023, os sistemas financeiros agora fazem um esforço mais unificado e proativo para defender sua infraestrutura e seus ativos digitais das ameaças online.

A quem a DORA se aplica?

O Digital Operational Resilience Act se aplica às seguintes instituições da UE:

1. Serviços de pagamento e de conta

• Provedores de serviços de informação sobre contas (AISPs): coletam e gerenciam informações de contas de pagamento.
• Instituições de pagamento: prestam serviços de pagamento.
• Instituições de moeda eletrônica (incluindo as isentas): emitem moeda eletrônica e prestam contas sobre transparência.

2. Investimentos e gerenciamento de ativos

• Empresas de investimento: oferecem gerenciamento de ativos e oportunidades de investimento.
• Sociedades gestoras: conduzem fundos de investimento.
• Gestores de fundos de investimento alternativos (AIFMs): gerenciam hedge funds, private equity e outras alternativas.

3. Seguros e previdência

• Seguradoras e resseguradoras: oferecem seguros e cobertura de riscos.
• Intermediários de seguros: corretores e agentes que vendem produtos de seguro.
• Instituições de realização de planos de pensões profissionais (IORPs): gerenciam as pensões dos funcionários.
• Instituições de poupança para aposentadoria: oferecem produtos de poupança previdenciária.

4. Infraestrutura de mercado e negociação

• Plataformas de negociação: plataformas de compra e venda de instrumentos financeiros (mercados regulamentados, MTFs, OTFs).
• Contrapartes centrais (CCPs): reduzem o risco de contraparte nas negociações.
• Centrais de depósito de valores mobiliários (CSDs): custodiam e transferem valores mobiliários.

5. Dados, transparência e relatórios

• Provedores de serviços de comunicação de dados (DSRPs): reportam dados financeiros para fins de transparência.
• Repositórios de securitização: mantêm registros das operações de securitização.
• Repositórios de transações: centralizam e mantêm registros de negociações para supervisão regulatória.
• Agências de classificação de risco: avaliam e classificam a qualidade de crédito dos emissores.
• Administradores de índices de referência críticos: definem princípios norteadores (por exemplo, LIBOR, EURIBOR).

6. Finanças alternativas e inovação

• Provedores de serviços de financiamento coletivo: viabilizam captações públicas de recursos.
• Provedores de serviços de criptoativos e emissores de tokens referenciados a ativos: oferecem serviços de cripto e emitem tokens vinculados a ativos.

7. Tecnologia e terceirização

• Provedores terceirizados de serviços de TIC: prestam serviços de TI a instituições financeiras.

8. Crédito

• Credores hipotecários: concedem empréstimos com garantia imobiliária.

Até fornecedores terceirizados de software estão sujeitos às diretrizes da DORA. Como os MSPs se entrelaçam com processos críticos das instituições financeiras, qualquer descumprimento resulta em penalidades “efetivas, proporcionais e dissuasivas” e em impacto negativo sobre a reputação.

A conformidade total reduz interrupções no trabalho e eleva os padrões de cibersegurança da sua organização, reforçando a infraestrutura digital de todo o cenário financeiro da UE.

Principais requisitos da conformidade com a DORA

Gerenciamento de riscos de TIC

O Digital Operational Resilience Act exige identificar, mitigar e monitorar continuamente as ameaças atuais e emergentes. O primeiro passo é gerenciar o risco.

Controle os privilégios dos usuários, mantenha os dados precisos e íntegros e use criptografia de nível governamental para proteger tudo. Essas medidas (e os sistemas internos que protegem as informações) devem ser mantidas e otimizadas por profissionais que também possam ser responsabilizados.

Comunicação de incidentes

As instituições financeiras precisam criar rapidamente o próprio protocolo de avaliação e comunicação de incidentes.

Crie registros detalhados dos incidentes, adote protocolos de resposta robustos, avalie os resultados, mantenha canais adequados com as autoridades e informe clientes e acionistas com regularidade.

Testes e estratégias de resiliência

A DORA obriga as instituições financeiras a testar suas defesas digitais todos os anos de três formas: testes avançados de vulnerabilidade nos sistemas de tecnologia da informação e comunicação (TIC), avaliação independente dos pontos fracos da infraestrutura e testes de invasão guiados por ameaças (TLPT) que simulam ataques reais.

Mas não para por aí. Sua organização também precisa criar e manter a documentação desses testes, incluindo metodologias e as medidas extras adotadas para fechar as brechas do ecossistema digital.

Gerenciamento de riscos de terceiros

Os fornecedores terceirizados precisam ser monitorados e avaliados com regularidade, para garantir que cumpram os requisitos rigorosos da DORA.

Avalie cada provedor terceirizado com base em suas capacidades técnicas, nível de segurança e planos de recuperação de desastres. Além disso, os contratos com terceiros devem ser à prova de falhas, com todos os padrões da DORA devidamente aplicados.

Compartilhamento de informações e cooperação

A DORA incentiva os integrantes do setor financeiro a compartilhar conhecimento sobre a evolução das ameaças cibernéticas. Redes que divulgam incidentes com novos malwares e as táticas mais recentes dos hackers são fontes valiosíssimas de informação para as equipes de TI e ajudam a evitar crises de imagem no futuro. Segundo as estatísticas de cibersegurança de 2025: estudos recentes indicam que agentes de ameaças conseguem invadir, de forma consistente, 93% das redes das organizações.

Quais são os benefícios da conformidade com a DORA?

A tecnologia evolui rápido, então a DORA dá às instituições financeiras mais uma linha de defesa contra ameaças sofisticadas e emergentes. A conformidade protege os negócios e abre caminho para uma produtividade sem interrupções, garantindo aquela vantagem constante para a empresa se manter no topo.

As práticas dos novos padrões da UE também já se mostraram eficazes para as empresas, além de construir confiança com reguladores, acionistas e potenciais clientes. Um estudo de 2024 do Future Business Journal mostrou que a transparência em cibersegurança teve impacto positivo no desempenho dos bancos e estimulou mais bancos a fazerem o mesmo. Em resumo: a conformidade com a DORA dá aos clientes mais confiança na segurança do próprio dinheiro.

Conformidade com a DORA: os maiores desafios

Embora traga vantagens para as instituições financeiras, implementar os padrões da DORA apresenta alguns desafios, especialmente para organizações de pequeno e médio porte. Adotar medidas de segurança no padrão DORA exige muitos recursos e mão de obra, algo que as PMEs nem sempre conseguem bancar sozinhas por causa do tamanho e das restrições de orçamento.

Por isso, algumas recorrem a provedores de serviços gerenciados (MSPs) para obter ajuda adicional, e muitos deles oferecem suporte de TIC sem pesar no caixa. Outras adotam ferramentas de gerenciamento tudo-em-um e de bom custo-benefício para acabar com as dores de cabeça da TI sem estourar o orçamento.

Passos para alcançar a conformidade com a DORA

1. Faça uma análise de lacunas de conformidade

Primeiro, faça uma análise de lacunas que compare o que já existe com o que se pretende alcançar com os padrões da DORA. Pense nisso como um diagrama de Venn, que ajuda a enxergar o que falta na estrutura de TI. Para fazer isso:

• Identifique a lacuna entre sua estrutura e o que a DORA exige.
• Classifique as lacunas por importância.
• Crie planos de ação com prazos definidos para resolvê-las com competência.

2. Estabeleça uma estrutura de gerenciamento de riscos de TIC

Em seguida, crie uma estrutura de gerenciamento na organização e defina papéis claros. Essa estrutura de cibersegurança da DORA precisa ser capaz de:

• Atribuir papéis claros na estrutura de liderança.
• Avaliar riscos que afetam as operações (por exemplo, ransomware, falhas de sistema etc.).
• Criar estratégias para mitigar riscos conhecidos (por exemplo, firewalls, acesso de privilégio mínimo, discos criptografados).
• Coordenar de perto com a resposta a incidentes e a recuperação de desastres.
• Monitorar e revisar casos anteriores e políticas atuais conforme surgem novas ameaças.

3. Desenvolva um plano robusto de resposta a incidentes

Coisas ruins acontecem, e é preciso estar pronto 24 horas por dia. Veja o que a DORA exige:

• Defina os incidentes por gravidade e frequência.
• Descreva passos claros para que parceiros internos e externos abordem, mitiguem e contenham incidentes.
• Distribua papéis na preparação para incidentes futuros.
• Desenvolva medidas de continuidade de negócios para restaurar dados e colocar os sistemas no ar rapidamente.
• Faça exercícios de mesa e simulações com regularidade para identificar melhorias necessárias. Para uma discussão mais aprofundada, veja este guia: lista de verificação de segurança de TI para proteger sua empresa.

4. Trabalhe com os provedores terceirizados para verificar a conformidade

Faça a devida diligência sobre os fornecedores terceirizados que você contrata para garantir conformidade total com a DORA. Veja como:

• Confirme que o provedor segue boas práticas de segurança e políticas de proteção de dados.
• Inclua os padrões de conformidade com a DORA nos contratos da sua organização. Recomendamos a leitura do nosso guia sobre contratos de serviços gerenciados para MSPs para mais informações.
• Monitore o desempenho deles continuamente por meio de auditorias.
• Una forças para resolver lacunas na sua infraestrutura.
• Mantenha um canal de comunicação aberto.

5. Teste e monitore a resiliência com regularidade

Teste a resiliência das medidas de segurança do seu sistema com simulações extensas:

• Faça testes de segurança anuais.
• Avalie as vulnerabilidades do sistema a cada 4 meses.
• Use TLPT para simular ataques reais.
• Acompanhe continuamente o desempenho, a disponibilidade e a segurança do sistema durante os testes.
• Analise os resultados para identificar pontos fracos e oportunidades de melhoria.
• Revise e reforce protocolos de segurança, planos de recuperação e a resposta a incidentes.

O impacto da DORA no futuro da conformidade do setor financeiro

A DORA complementa padrões e regulamentações já existentes na UE, como o Regulamento Geral sobre a Proteção de Dados (GDPR) e a diretiva de segurança da NIS2, melhorando a saúde digital do setor financeiro como um todo.

Esse grande impulso por melhores padrões de resiliência operacional provavelmente vai inspirar outros países fora da UE a adotar princípios semelhantes, como aconteceu com o GDPR, que criou um precedente para a regulamentação de dados e a segurança operacional no mundo todo.

Ao se alinharem a estruturas de segurança novas e robustas como a DORA, os países podem construir uma comunidade global mais saudável e mais bem preparada para enfrentar as ameaças digitais de hoje.

Sua jornada rumo à conformidade com a DORA

A DORA impõe padrões mais rígidos de gerenciamento de riscos a bancos e outras instituições financeiras da União Europeia. Sua estrutura exige a formação de uma liderança de gerenciamento de riscos de TIC, comunicação rápida e confiável de incidentes, testes constantes, avaliação de provedores terceirizados e compartilhamento de informações.

As grandes instituições financeiras são a força vital da economia e, embora incidentes possam acontecer, é obrigação delas reduzir o risco ao máximo. Seguir a DORA garante à sua organização um sistema de comando mais forte, medidas de cibersegurança de classe mundial e muito mais. Comece hoje mesmo sua jornada rumo à conformidade.