DORA: guia completo para entidades financeiras

A DORA — Regulamento (UE) 2022/2554 — impõe a todas as entidades financeiras da União um quadro único de resiliência operacional digital, aplicável desde 17 de janeiro de 2025, assente em cinco pilares: gestão do risco das TIC, notificação de incidentes, testes de resiliência, gestão do risco de prestadores terceiros e partilha de informação. Em Portugal, a supervisão reparte-se entre o Banco de Portugal, a CMVM e a ASF, e a responsabilidade última é do órgão de administração, não do departamento de informática.

Este guia dirige-se a quem responde por conformidade numa instituição de crédito, empresa de investimento, instituição de pagamento, seguradora ou sociedade gestora: o que a DORA exige, quem supervisiona o quê em Portugal e onde as obrigações se sobrepõem ao trabalho de RGPD já feito.

Principais conclusões

• A DORA é um regulamento: aplica-se diretamente, sem transposição, desde 17 de janeiro de 2025 (art. 64.º).
• Abrange cerca de vinte categorias de entidades financeiras (art. 2.º), incluindo prestadores de serviços de criptoativos.
• O órgão de administração tem a responsabilidade final pelo quadro de risco das TIC (art. 5.º, n.º 2) — obrigação de governação, não técnica.
• O registo de informação do art. 28.º, n.º 3, segue modelos fixados pelo Regulamento de Execução (UE) 2024/2956.
• Incidentes graves: notificação inicial em 4 horas após a classificação e 24 horas após a deteção; relatório intercalar em 72 horas; final em um mês.

A quem se aplica a DORA?

O artigo 2.º enumera as entidades abrangidas, e a lista é deliberadamente longa: instituições de crédito, de pagamento e de moeda eletrónica, empresas de investimento, sociedades gestoras, seguradoras e resseguradoras, instituições de pensões profissionais, agências de notação de risco, prestadores de serviços de criptoativos, centrais de valores mobiliários e plataformas de negociação — mais os prestadores terceiros de TIC designados como críticos.

O artigo 2.º, n.º 3, exclui um conjunto restrito de operadores, entre eles os mediadores de seguros que sejam micro ou pequenas empresas. O artigo 16.º prevê um quadro simplificado para pequenas empresas de investimento não interligadas e pequenas instituições de pagamento, de moeda eletrónica e de pensões. Simplificado não é isento: registo, notificação de incidentes e governação continuam a aplicar-se.

Se está sob supervisão do Banco de Portugal, da CMVM ou da ASF, presuma que a DORA se aplica — o ónus de demonstrar o contrário é seu.

Quais são os cinco pilares da DORA?

Pilar	Artigos	Obrigação central
Gestão do risco das TIC	5.º–16.º	Quadro documentado, aprovado e revisto anualmente pelo órgão de administração
Gestão e notificação de incidentes	17.º–23.º	Classificar incidentes e notificar os graves à autoridade competente
Testes de resiliência operacional digital	24.º–27.º	Programa de testes anual; TLPT para as entidades mais significativas
Gestão do risco de terceiros	28.º–44.º	Registo de informação, cláusulas contratuais mínimas, estratégias de saída
Partilha de informação	45.º	Acordos voluntários de troca de informação sobre ciberameaças

Gestão do risco das TIC. O artigo 6.º exige um quadro documentado, revisto pelo menos anualmente e após incidentes graves. Os artigos 7.º a 15.º fixam os componentes: identificação de funções e ativos, proteção, deteção de atividade anómala, resposta e recuperação, cópias de segurança e comunicação de crise.

Incidentes. O artigo 18.º manda classificar os incidentes segundo critérios fixos — clientes afetados, duração, dispersão geográfica, perda de dados, criticidade dos serviços, impacto económico. Os limiares de materialidade constam do Regulamento Delegado (UE) 2024/1772; os prazos e o conteúdo dos relatórios, do Regulamento Delegado (UE) 2025/301.

Testes. O artigo 24.º obriga a um programa proporcional ao perfil de risco; os sistemas que suportam funções críticas ou importantes testam-se pelo menos anualmente. As entidades identificadas como significativas ficam ainda sujeitas a testes de penetração baseados em ameaças (TLPT), com periodicidade mínima trienal (arts. 26.º e 27.º).

Risco de terceiros. É o pilar mais trabalhoso. Além do registo, o artigo 30.º fixa as cláusulas mínimas de qualquer contrato de TIC, o artigo 28.º, n.º 8, exige estratégias de saída e o artigo 29.º uma avaliação prévia do risco de concentração. A partilha de informação do artigo 45.º é o único pilar facultativo.

Que autoridades supervisionam a DORA em Portugal?

Portugal não tem uma autoridade DORA única. A competência segue a supervisão setorial existente: o Banco de Portugal para instituições de crédito, de pagamento e de moeda eletrónica; a CMVM para empresas de investimento, sociedades gestoras e prestadores de serviços de criptoativos; a ASF para seguros e fundos de pensões. É a estas autoridades que se notificam os incidentes graves e a quem se entrega o registo de informação.

Acima do nível nacional, as Autoridades Europeias de Supervisão — EBA, ESMA e EIOPA — designam os prestadores de TIC críticos e supervisionam-nos diretamente através de um Supervisor Principal (arts. 31.º a 44.º), com base nos registos de informação entregues.

O que a DORA exige do órgão de administração?

O artigo 5.º, n.º 2, é a disposição mais ignorada e a que mais rapidamente gera uma constatação em inspeção. Cabe ao órgão de administração aprovar o quadro de gestão do risco das TIC, supervisionar a sua execução, rever a política relativa aos prestadores terceiros, definir o apetite pelo risco, atribuir orçamento e aprovar os planos de auditoria e continuidade. O n.º 4 acrescenta um dever pessoal: formação regular dos administradores.

Em prova documental, isto são atas de aprovação datadas, um relatório periódico de risco das TIC ao conselho, registos de formação e uma delegação escrita que não dilua a responsabilidade última. Uma entidade que apenas apresente um documento técnico assinado pelo diretor de sistemas não cumpre o artigo 5.º. A lógica é a do encarregado de proteção de dados: a função opera, mas a responsabilidade permanece no topo.

Cronologia: o que já é exigível

Data	Marco
27 de dezembro de 2022	Publicação no Jornal Oficial
16 de janeiro de 2023	Entrada em vigor
2024	Adoção das normas técnicas de regulamentação e de execução
17 de janeiro de 2025	Aplicação plena — todas as obrigações exigíveis

Não existe período transitório: desde 17 de janeiro de 2025, uma entidade sem registo de informação, sem quadro aprovado pelo órgão de administração ou sem procedimento de notificação está em incumprimento. Estar «em implementação» não é uma defesa.

DORA e RGPD: onde se cruzam e onde divergem

A sobreposição é real mas parcial, e confundi-las é caro. As medidas do artigo 32.º do RGPD e o quadro de risco das TIC dos artigos 6.º a 15.º da DORA cobrem o mesmo terreno técnico, pelo que faz sentido documentá-las uma só vez. Os prestadores já qualificados como subcontratantes são, quase sempre, prestadores de TIC ao abrigo da DORA — mas os contratos de subcontratação do artigo 28.º não contêm as cláusulas mínimas do artigo 30.º da DORA, e o registo de atividades de tratamento não substitui o registo de informação.

As notificações são cumulativas, não alternativas. Um ransomware que cifre dados de clientes desencadeia, em simultâneo, uma notificação de violação de dados à CNPD em 72 horas (art. 33.º RGPD) e uma notificação de incidente grave ao Banco de Portugal em 24 horas (art. 19.º DORA) — destinatários, prazos e formulários diferentes. Testar este cenário duplo antes de ele acontecer, e conhecer a prática da CNPD tão bem como a do supervisor, poupa horas críticas.

Quanto à NIS2, a articulação resolve-se em favor da DORA, enquanto regime especial. Se o grupo tiver atividades fora do setor financeiro, a transposição da NIS2 em Portugal continua relevante para essas entidades.

Por onde começar

A ordem que funciona: mapear os prestadores de TIC e construir o registo; formalizar o quadro de risco e submetê-lo ao órgão de administração; montar o fluxo de notificação de incidentes; planear o ciclo de testes; articular com a documentação de RGPD existente. Começar pelo registo não é arbitrário — é a obrigação que mais tempo consome e a primeira que a supervisão solicita.

Manter isto em folhas de cálculo é viável durante um trimestre e insustentável depois. Reunir fornecedores, medidas de segurança e evidência de governação num só local é a função de um software DORA para o setor financeiro em Portugal: o ganho está no custo de manutenção, que é onde a conformidade DORA falha.

Perguntas frequentes

A DORA aplica-se a pequenas entidades financeiras?

Sim, com atenuações. O artigo 16.º prevê um quadro simplificado para pequenas empresas de investimento não interligadas e pequenas instituições de pagamento, de moeda eletrónica e de pensões. O registo de informação, a notificação de incidentes e a responsabilidade do órgão de administração mantêm-se integralmente.

A DORA exige transposição para a lei portuguesa?

Não. É um regulamento e aplica-se diretamente desde 17 de janeiro de 2025. A legislação nacional limita-se a designar autoridades competentes e a fixar o regime sancionatório. A CNPD mantém a competência em proteção de dados, que é distinta.

Um incidente tem de ser notificado ao supervisor e à CNPD?

Se envolver dados pessoais e preencher os critérios de ambos os regimes, sim, e são procedimentos independentes: 24 horas para o supervisor financeiro (art. 19.º DORA), 72 horas para a CNPD (art. 33.º RGPD).

Conclusão

A DORA transformou a resiliência operacional digital em obrigação verificável para todo o setor financeiro português. Os cinco pilares interligam-se: o registo alimenta a gestão do risco de terceiros, o quadro de risco define o que se testa, e os testes revelam os cenários que o plano de resposta tem de cobrir. O que a supervisão avalia primeiro não é técnico — é saber se o órgão de administração aprovou, reviu e compreendeu o que assinou.