Pontos principais
- Entenda o regulamento DORA: o Digital Operational Resilience Act (DORA) — em vigor desde 17 de janeiro de 2025 — impõe padrões de cibersegurança em toda a UE para instituições financeiras e prestadores terceirizados críticos de TIC.
- Quem precisa cumprir: a DORA se aplica a bancos, instituições de crédito e pagamento, seguradoras, empresas de investimento, prestadores de serviços de criptoativos, infraestruturas do mercado financeiro, empresas de auditoria e análise de dados e fornecedores de TIC que atuam na UE.
- Lista de verificação de conformidade com a DORA:
- Faça a análise de lacunas de conformidade: avalie a infraestrutura digital atual, identifique lacunas e defina planos de projeto com prazos.
- Implemente o gerenciamento de riscos de TIC: identifique vulnerabilidades, crie planos de contingência e monitore os sistemas críticos de forma contínua.
- Estruture o relato de incidentes de TIC: siga os protocolos de relato da UE — notifique em até 4 horas, atualize em até 72 horas e finalize em até 1 mês.
- Aplique o gerenciamento de riscos de terceiros: firme contratos sólidos, audite fornecedores e faça valer as cláusulas do Artigo 30 da DORA (por exemplo, direitos de auditoria e estratégias de saída).
- Incentive o compartilhamento de informações: participe de redes de inteligência sobre ameaças cibernéticas da UE (ENISA, FS-ISAC) para colaborar e detectar ameaças cedo.
- Teste a resiliência digital: execute programas anuais de testes de TIC, incluindo TLPT a cada 3 anos nos sistemas críticos.
- Os cinco pilares da conformidade com a DORA: gerenciamento de riscos de TIC, relato de incidentes, testes de resiliência, gerenciamento de riscos de terceiros e compartilhamento de informações.
- Consequências do descumprimento: as penalidades incluem multas, inspeções, avisos públicos, interrupção forçada das atividades e processos caros de remediação.
- Boas práticas para manter a conformidade: treine equipe e fornecedores em cibersegurança com regularidade, use automação e ferramentas de IA para aplicar políticas e fazer o gerenciamento de endpoints, e mantenha documentação, auditorias e revisões anuais em conformidade com a DORA.
O Digital Operational Resilience Act (DORA) define o padrão de proteção digital para instituições financeiras que operam na União Europeia (UE), o que envolve prestadores de serviços terceirizados críticos e autoridades de outros países. A lei impõe regras rígidas para se antecipar às ameaças cibernéticas modernas voltadas ao setor financeiro, e seguir esta lista de verificação de conformidade com a DORA simplifica o caminho até a conformidade.
Este artigo apresenta a lista de verificação completa de conformidade com a DORA, os componentes principais e os passos concretos a seguir.
Este artigo apresenta a lista de verificação de conformidade com a DORA para instituições financeiras na UE, incluindo os pilares ou componentes principais do regulamento e os passos concretos para simplificar o caminho da sua organização rumo à conformidade.
O que é a DORA?
O Digital Operational Resilience Act (DORA) — em vigor em toda a União Europeia (UE) desde 17 de janeiro de 2025 — estabelece regras harmonizadas para instituições financeiras e cria um marco de supervisão da UE para prestadores terceirizados críticos de TIC (CTPPs), conduzido pelas Autoridades Europeias de Supervisão (AES). Na prática, o regulamento impõe regras rígidas para se antecipar às ameaças cibernéticas modernas direcionadas ao setor financeiro da UE.
Para saber mais sobre a DORA, assista ao nosso guia em vídeo: O que é a conformidade com o Digital Operational Resilience Act (DORA)?
A quem a DORA se aplica?
O alcance dos requisitos de conformidade com a DORA abrange instituições financeiras que fazem negócios nos Estados-membros da UE, incluindo, entre outras:
- Bancos
- Instituições de crédito e de pagamento
- Seguradoras
- Empresas de investimento
- Prestadores de serviços de criptoativos e de financiamento coletivo
- Serviços de análise de dados e auditoria
- Infraestruturas do mercado financeiro
Melhore sua postura de segurança com o gerenciamento autônomo de TI.
→ Descubra como escalar a segurança de TI corporativa com NinjaOne
Lista de verificação de conformidade com a DORA
Antes de começar, vale revisar a legislação completa da DORA com a equipe jurídica para confirmar se ela se aplica à sua organização. Veja como instituições financeiras da UE e prestadores de serviços críticos podem garantir conformidade total com os requisitos de cibersegurança da DORA.
1. Faça uma análise de lacunas de conformidade
- Faça uma revisão inicial: analise por completo o que a DORA exige e determine o tamanho e o orçamento do projeto de adoção.
- Identifique o que falta: compare a infraestrutura digital atual com os requisitos da DORA.
- Classifique por importância: priorize estrategicamente as maiores “lacunas” da infraestrutura.
- Crie um plano de projeto: defina possíveis subprojetos e marcos.
- Trabalhe com prazos: crie planos de ação com datas definidas para “tapar os buracos” do seu framework e chegar o mais perto possível dos padrões da DORA.
2. Execute o gerenciamento de riscos de TIC
- Encontre os riscos: identifique os pontos mais frágeis da infraestrutura e documente o processo.
- Prepare contingências: planeje como vai lidar com determinados incidentes, atribua responsabilidades e deixe prontos os procedimentos de continuidade de negócios caso o sistema sofra um ataque.
- Monitore sistemas críticos: acompanhe as partes mais importantes da infraestrutura de TIC 24 horas por dia, 7 dias por semana, para detectar e tratar ameaças cedo.
Avalie as vulnerabilidades do sistema e os riscos potenciais, e prepare um plano de resposta robusto. O gerenciamento de riscos de desastres está no centro da DORA, e seus principais pilares giram em torno dele.
3. Faça o relato de incidentes de TIC
- Identifique, escale e relate: siga os protocolos específicos da DORA ao desenhar os fluxos de trabalho de relatórios de incidentes e de definição de prioridades.
- Defina um cronograma: todos os relatórios precisam ser documentados, enviados e escalados rapidamente a uma autoridade competente designada pelo Estado-membro da UE.
- Desenhe fluxos de trabalho que atendam aos prazos da DORA para incidentes graves relacionados a TIC: é preciso enviar a notificação inicial em até 4 horas após a classificação e, no máximo, 24 horas após a detecção, um relatório intermediário em até 72 horas e um relatório final em até 1 mês. Além disso, notifique a autoridade nacional competente usando os modelos da UE.
Bancos e seguradoras têm obrigação legal de divulgar incidentes quando eles ocorrem na UE e fora dela. Por isso, empresas terceirizadas de TIC quase sempre participam para acelerar o processo e, como estão fortemente ligadas à infraestrutura essencial, a DORA também precisa contemplá-las.
4. Aplique o gerenciamento de riscos de terceiros
- Avalie os riscos dos fornecedores: instituições financeiras devem monitorar contratos de subcontratação de TIC de baixa qualidade, que podem colocá-las em risco.
- Firme contratos rigorosos: acordos juridicamente vinculativos criam um incentivo considerável para que as expectativas de segurança e conformidade sejam cumpridas.
- Acompanhe os fornecedores terceirizados: rastreie e monitore o acesso de cada prestador aos seus sistemas de TIC.
- Garanta as cláusulas contratuais do Artigo 30 da DORA: elas incluem direitos de auditoria e acesso, locais de processamento de dados, notificação e tratamento de incidentes, condições de subcontratação, rescisão e suporte na saída, além de planos de saída e transição.
Um bom histórico é essencial na escolha de um parceiro de negócios, e o mesmo vale para fornecedores terceirizados sob empresas de investimento da UE. Isso pode ser testado ainda mais por meio de programas de treinamento, para garantir que todos estejam alinhados.
5. Pratique o compartilhamento de informações e a colaboração
- Fique de olho em novas ameaças: participe de fóruns de inteligência sobre ameaças cibernéticas e aprenda com outros setores para preparar a organização contra novos malwares.
- Converse por canais seguros: crie métodos internos de comunicação e de relato.
- Siga o padrão da UE: todos os órgãos reguladores da UE têm padrões de cibersegurança aos quais as instituições de pagamento precisam se alinhar. Entre eles está a Agência da União Europeia para a Cibersegurança (ENISA), que oferece apoio especializado para reforçar a cibersegurança e a resiliência na UE.
- Participe de comunidades confiáveis: é o caso do Financial Services Information Sharing and Analysis Center (FS-ISAC), que incentiva o compartilhamento voluntário de inteligência sobre ameaças cibernéticas respeitando a confidencialidade, o GDPR e a legislação de concorrência.
A DORA apoia o compartilhamento de conhecimento sobre ameaças cibernéticas emergentes em todos os níveis para elevar a resiliência digital do setor financeiro da UE.
6. Teste a resiliência operacional digital
- Mantenha um programa anual de testes baseado em risco para os sistemas de TIC: se a sua organização atende aos critérios, execute testes de penetração guiados por ameaças (TLPT) pelo menos a cada 3 anos em produção, nas funções críticas
- Faça simulações de segurança: os testes de penetração guiados por ameaças (TLPT) simulam ataques cibernéticos reais para colocar as defesas à prova.
- Aprenda com os resultados: revise as descobertas e use-as para aprimorar continuamente as medidas de defesa e cobrir os pontos fracos.
Testar as defesas com simulações de ataques reais é a melhor forma de medir a cibersegurança da organização. O gerenciamento de riscos de TIC da DORA exige que as empresas financeiras da UE verifiquem regularmente a infraestrutura em busca de pontos frágeis e criem novas maneiras de proteger os dados dos clientes.
Componentes principais da DORA
Já se perguntou como os grandes bancos se mantêm seguros? Bancos de dados on-line distribuídos e bancos de dados eletrônicos centralizados funcionam como os cofres modernos, e as instituições financeiras seguem regulamentos como a DORA para manter a segurança impecável e proteger as contas dos clientes.
Os cinco pilares da conformidade com a DORA
- Gerenciamento de riscos de TIC
- Relato de incidentes de TIC
- Testes de resiliência operacional digital
- Gerenciamento de riscos de terceiros
- Compartilhamento de informações
Os pilares da DORA formam um framework sólido para manter as instituições financeiras seguras. É como um manual de instruções de segurança digital que deixa negócios essenciais, como bancos e seguradoras, à prova de balas.
Automatizar certos aspectos de política e de gerenciamento de endpoints facilita o processo e aproxima a organização do gerenciamento de riscos completo exigido pela DORA.
Veja como esses conceitos se conectam neste vídeo: “Como aproveitar ao máximo as soluções de cibersegurança da Microsoft para a conformidade com a DORA”.
Por que instituições financeiras precisam cumprir a DORA
Deixar de cumprir a DORA traz consequências sérias para instituições financeiras que operam na UE. A DORA permite que cada Estado-membro aplique as próprias penalidades, que podem incluir:
- Multas elevadas
- Inspeções e medidas corretivas
- Avisos públicos
- Interrupção das atividades
- Um processo caro de remediação
Para as entidades financeiras, alinhar-se à DORA é essencial para continuar operando na UE, sobretudo porque o framework se apoia nos maiores regulamentos de conformidade da UE. Ele segue a linha da ISO 27001 e vai além, com medidas específicas como gerenciamento de terceiros e protocolos de resposta a incidentes, ao mesmo tempo em que complementa a Diretiva de Segurança das Redes e da Informação 2 (NIS2) – uma diretiva voltada à segurança de sistemas – por meio de uma mitigação robusta de ameaças cibernéticas. Mais importante: a DORA também reforça a ênfase do GDPR na privacidade de dados, sem perder de vista as ameaças em evolução.
Procura maneiras de atender sempre a padrões regulatórios rígidos?
→ Veja como NinjaOne simplifica o gerenciamento de conformidade
Boas práticas para manter a conformidade com a DORA
- Mantenha a casa em ordem e todo mundo alinhado. Promova treinamentos contínuos para a equipe e também para prestadores terceirizados, atualizando o time sobre os padrões legais atuais de cibersegurança.
- Tecnologias emergentes eliminam tarefas tediosas com o apertar de um botão. Para trabalhar melhor e mais rápido, familiarize todos com as ferramentas mais recentes de automação de protocolos de segurança, como um software RMM completo e as melhores ferramentas de IA.
- Por fim, aplique padrões de documentação em conformidade com a DORA em todos os níveis e realize auditorias e revisões de conformidade anuais. Você precisa estar entre os melhores do setor, e é assim que prova isso à concorrência.
Eleve seus padrões de cibersegurança com uma lista de verificação de conformidade com a DORA para instituições financeiras
Para atender aos requisitos da DORA, encontre e corrija os pontos fracos. É preciso relatar incidentes às autoridades no prazo e simular ataques reais no sistema para testar os limites da cibersegurança. Também vale avaliar fornecedores terceirizados e participar de intercâmbios globais de inteligência sobre ameaças cibernéticas para se manter atento a ameaças novas e emergentes.
Adotar esse framework mantém bancos e seguradoras proativos em relação à cibersegurança, reduz as chances de vulnerabilidade e fortalece a confiança das partes interessadas. Além de alinhar a organização às regulamentações internacionais, posiciona-a como referência em cibersegurança, atraindo mais clientes para o negócio.
