A gestão de prestadores TIC no DORA começa antes da assinatura e continua até à saída efetiva do serviço. A entidade financeira deve compreender de que funções depende o fornecedor, que riscos introduz, como os acompanha e como consegue recuperar dados e capacidade operacional se a relação terminar.
Este guia organiza a diligência, a revisão contratual, o acompanhamento e um exercício de saída. O objetivo é produzir uma ficha de decisão com evidência e condições de aprovação. As obrigações devem ser aplicadas ao âmbito real da entidade e do serviço, distinguindo os requisitos gerais dos requisitos adicionais para serviços que suportam funções críticas ou importantes.
Enquadrar o serviço e a função suportada
Os artigos 28.º a 30.º do DORA estabelecem princípios e obrigações relativos ao risco de terceiros prestadores de serviços TIC. A contratação não transfere para o fornecedor a responsabilidade da entidade financeira pelo cumprimento das suas próprias obrigações.
Descreva o serviço adquirido e as funções que suporta. Avalie se a perturbação comprometeria materialmente os elementos previstos na definição de função crítica ou importante do artigo 3.º. A classificação deve ter uma razão documentada, com referência a impacto e dependências. Não depende apenas do valor anual do contrato ou da dimensão do fornecedor.
Distinga ainda duas expressões: um serviço que suporta uma função crítica ou importante da entidade e um prestador designado como crítico no quadro europeu de supervisão. A designação do prestador segue um regime próprio e não substitui a classificação das funções da entidade contratante.
Associe o serviço ao quadro de gestão do risco TIC. Se o mesmo prestador suporta autenticação, armazenamento e cópias de segurança, a análise deve mostrar essa dependência combinada. Um registo de contratos por departamento pode ocultar a concentração real.
Preparar a diligência antes da contratação
O artigo 28.º, n.º 4, exige avaliações prévias, incluindo criticidade, condições de supervisão, riscos, adequação do prestador e conflitos de interesses. Para a política relativa a serviços que suportam funções críticas ou importantes, o Regulamento Delegado 2024/1773 desenvolve a avaliação e as fases do ciclo contratual, no seu âmbito de aplicação.
Peça evidência proporcional sobre recursos, competências, organização, segurança, continuidade e capacidade de cumprir o serviço. Um questionário deve identificar documentos e configurações verificáveis, e não limitar-se a respostas afirmativas. Se um relatório de auditoria abrange apenas uma região ou um produto diferente, registe essa limitação.
| Tema | Evidência a pedir | Pergunta de decisão |
|---|---|---|
| Segurança | Âmbito de controlos, relatórios e ações pendentes | Os controlos cobrem o serviço e os dados contratados? |
| Continuidade | Resultados de exercícios e dependências | A recuperação demonstrada satisfaz a função suportada? |
| Capacidade | Recursos e organização do suporte | Existe cobertura adequada aos períodos relevantes? |
| Localização | Países de prestação, tratamento e armazenamento | Há riscos jurídicos ou operacionais adicionais? |
| Cadeia de prestadores | Serviços subcontratados e dependências relevantes | A entidade consegue acompanhar o risco da cadeia? |
| Saída | Formatos, assistência e condições de transição | É possível substituir o serviço de forma exequível? |
Defina quem avalia cada resposta e que lacunas impedem aprovação. Uma pendência sobre a disponibilidade de um relatório pode ter tratamento diferente de uma incapacidade demonstrada de devolver os dados. A ficha deve explicar a consequência prática, evitando uma pontuação total que esconda uma falha essencial.
Avaliar concentração e substituição
O artigo 29.º exige atenção ao risco de concentração nas condições nele previstas. Verifique a dependência de prestadores difíceis de substituir e a acumulação de funções críticas ou importantes no mesmo fornecedor ou em prestadores estreitamente ligados. Analise também cadeias longas ou complexas de subcontratação e os efeitos na supervisão.
Duas marcas comerciais podem depender da mesma infraestrutura ou do mesmo grupo. Por outro lado, contratar vários fornecedores não elimina necessariamente o risco se a autenticação ou a conectividade continuarem concentradas. Use a cartografia dos sistemas e fluxos para identificar esses pontos comuns.
Compare alternativas reais: outro prestador, execução interna, redução de funcionalidade ou canal temporário. A análise deve considerar capacidade, tempo, dados, licenças e pessoas necessárias. «Migrar para outro fornecedor» é apenas uma intenção enquanto não se conhece o formato de exportação e a possibilidade de importar a informação necessária.
Rever as cláusulas gerais e as adicionais
O artigo 30.º, n.º 2, inclui elementos mínimos para os contratos de serviços TIC, como descrição, localizações, proteção e recuperação dos dados, níveis de serviço, assistência em incidentes, cooperação e direitos de resolução. O contrato completo deve estar disponível num formato escrito duradouro e acessível nos termos do artigo.
Para serviços que suportam funções críticas ou importantes, o n.º 3 acrescenta requisitos, incluindo níveis de serviço completos com objetivos mensuráveis, informação sobre acontecimentos com impacto material, continuidade e segurança, cooperação nos testes avançados quando aplicável, direitos de acesso, inspeção e auditoria, e condições de saída e transição.
Transforme cada elemento numa referência contratual e numa ação operacional. Para assistência em incidentes, indique contacto, disponibilidade, informação inicial, atualizações e custos previamente determinados quando existam. Para auditoria, verifique quem pode exercer o direito e se outras políticas do fornecedor o limitam na prática.
Não introduza um prazo universal de quatro horas como se constasse do artigo 30.º para todos os avisos do prestador. Os compromissos de informação devem permitir à entidade cumprir as obrigações aplicáveis, mas é necessário distinguir o aviso contratual do fornecedor dos prazos regulamentares de reporte da entidade às autoridades.
Acompanhar alterações de subcontratação
O Regulamento Delegado 2025/532 especifica elementos a determinar e avaliar quando há subcontratação de serviços TIC que suportam funções críticas ou importantes. A análise deve corresponder ao âmbito desse regulamento e às partes materiais do serviço, sem copiar uma obrigação indiferenciada de aprovação para qualquer fornecimento auxiliar.
O contrato deve identificar os serviços cuja subcontratação é permitida e as condições aplicáveis. Para alterações materiais, o artigo 5.º prevê informação antecipada, um prazo razoável para aprovação ou oposição e implementação apenas depois de aprovação ou ausência de oposição no final desse prazo. A entidade deve conseguir avaliar o impacto antes de a mudança produzir efeitos.
Se uma alteração exceder a tolerância ao risco, a entidade informa o prestador, opõe-se e pede modificações antes do termo do prazo, nos termos previstos. Prepare a receção dos avisos: endereço monitorizado, responsável, substituto e documentação mínima. Um aviso publicado numa página que ninguém acompanha não demonstra um processo interno de avaliação eficaz.
Registe também as condições de resolução pertinentes quando o prestador implementa alterações apesar da oposição, antecipa mudanças sem aprovação ou subcontrata fora do permitido. A resposta deve ligar o direito contratual à capacidade de continuidade, para não deixar a equipa com uma opção jurídica que não consegue executar operacionalmente.
Separar DORA e subcontratação de dados pessoais
Quando o serviço trata dados pessoais por conta da entidade, aplique também o contrato do artigo 28.º do RGPD. Os dois regimes podem partilhar evidência de segurança, assistência e acesso, mas não têm o mesmo âmbito. O DORA também pode abranger serviços e informação sem dados pessoais.
No RGPD, o subcontratante informa o responsável de uma violação de dados sem demora injustificada, nos termos do artigo 33.º, n.º 2. Não recebe um prazo legal geral de 72 horas para esse aviso. A entidade deve organizar a informação necessária para decidir a comunicação aos titulares afetados quando existir elevado risco, além da avaliação de notificação à autoridade.
Se houver dados pessoais disponibilizados a entidades em países terceiros, analise o capítulo V do RGPD. Identificar países no contrato DORA não constitui, por si só, uma garantia de transferência. Verifique os destinatários e os acessos efetivos, incluindo a cadeia de assistência.
Manter o registo e o acompanhamento do contrato
O artigo 28.º, n.º 3, exige manter e atualizar um registo de informação sobre os acordos contratuais de serviços TIC, distinguindo os que suportam funções críticas ou importantes. Prevê informação pelo menos anual à autoridade sobre novos acordos, categorias, tipos e serviços, e disponibilização do registo completo ou de partes a pedido.
Não reduza essa disposição à afirmação de que o artigo impõe sempre o envio anual integral do registo. Verifique também as instruções e pedidos concretos de reporte aplicáveis à entidade. O mesmo número prevê informação atempada sobre acordos previstos para funções críticas ou importantes e quando uma função passe a ter essa classificação.
No acompanhamento, compare níveis de serviço, incidentes, alterações e ações corretivas com a avaliação inicial. O Regulamento Delegado 2024/1773 determina, no seu âmbito, que a entidade não dependa ao longo do tempo exclusivamente de certificações e relatórios do prestador. A garantia deve resultar de informação pertinente, atual e analisada, com exercício dos direitos adequados ao risco.
Exemplo preenchido de exercício de saída
Uma entidade fictícia utiliza um serviço externo para gerir documentos que suportam uma função classificada como importante. O plano prevê exportar ficheiros, metadados, permissões e evidência de integridade para uma solução alternativa. A equipa escolhe um conjunto representativo de 600 processos para verificar o percurso, sem interromper a produção.
| Etapa | Resultado observado no exercício fictício | Decisão |
|---|---|---|
| Exportação | Ficheiros completos, mas permissões sem correspondência | Não aprovar migração com acesso alargado por defeito |
| Importação | Metadados de estado importados corretamente | Manter mapeamento e prova da verificação |
| Integridade | Correspondência dos ficheiros confirmada | Registar método e universo verificado |
| Continuidade | Equipa consegue localizar documentos na alternativa | Confirmar capacidade para o volume total |
| Encerramento | Eliminação de cópias e retenção técnica por esclarecer | Exigir resposta e cláusulas executáveis antes da aprovação final |
O exercício revela que a dificuldade principal está nas permissões. A equipa cria uma correspondência por função, verifica acessos de utilizadores representativos e repete essa parte. O resultado passa a demonstrar uma saída com controlo de acesso, em vez de apenas uma exportação de ficheiros.
O artigo 28.º, n.º 8, exige estratégias de saída para serviços que suportam funções críticas ou importantes, com planos abrangentes, documentados, suficientemente testados e revistos periodicamente nos termos aplicáveis. Integre o exercício no plano de continuidade da atividade, incluindo contingência para falha inesperada do fornecedor. Uma transição negociada e uma insolvência súbita não oferecem as mesmas condições.
Aprovar com condições que possam ser acompanhadas
A decisão final deve identificar serviço, função, riscos, cláusulas, evidência e condições pendentes. Atribua um responsável a cada ação e um gatilho para reabrir a avaliação. Se a aprovação depender de corrigir uma lacuna antes do início, configure o processo de compra e acesso para respeitar essa condição.
Mantenha uma ligação entre o contrato, a ficha de risco, o registo e o plano de saída. Quando o fornecedor anunciar uma alteração material, a equipa deve conseguir localizar rapidamente as funções afetadas e os compromissos relevantes. Esse encadeamento transforma a diligência inicial num controlo que continua a funcionar durante a relação contratual.