DORA: como o regulamento europeu afeta suas operações e fornecedores de TI

O DORA (Digital Operational Resilience Act) é o regulamento da União Europeia (Regulamento (UE) 2022/2554) que define requisitos de resiliência operacional digital para o setor financeiro. Em aplicação desde 17 de janeiro de 2025, ele obriga bancos, seguradoras, gestoras e seus provedores críticos de tecnologia a comprovar capacidade de resistir, responder e se recuperar de interrupções de TI, sejam falhas técnicas, ciberataques ou problemas com terceiros.

Essa cena se repete com frequência nas consultorias: a empresa tem firewall, tem antivírus, tem política de senha, e se considera segura. Aí vem a pergunta que muda a conversa: se o seu provedor de nuvem cair agora, em quanto tempo a operação volta? Quem decide o quê? Onde está escrito? O regulamento DORA existe exatamente porque, para o regulador europeu, segurança sem capacidade comprovada de resposta e recuperação não é mais suficiente.

O que é o regulamento DORA?

O regulamento DORA é uma norma da União Europeia (Regulamento (UE) 2022/2554) em aplicação desde 17 de janeiro de 2025. Ele cobre não apenas bancos, seguradoras e gestoras, mas também os provedores críticos de TIC terceirizados: nuvem, data centers, software.

O objetivo central é criar um regime unificado para que essas entidades consigam resistir, reagir e se recuperar de interrupções de tecnologia. E note que o foco não é evitar que o incidente aconteça (sabemos que isso é impossível garantir): é provar que, quando acontecer, a operação continua.

Por que o regulamento DORA existe?

Por que a Europa precisaria de mais um regulamento, se o setor financeiro já é um dos mais regulados do mundo? Porque o risco mudou de lugar. O sistema financeiro europeu inteiro passou a depender de poucos provedores globais de tecnologia, os chamados hiperscalers (AWS, Azure, Google Cloud), que atendem centenas de instituições ao mesmo tempo. Um problema em um deles não é mais um problema de uma empresa: é um risco sistêmico.

Somado a isso:

Fragmentação regulatória: antes do DORA, cada país tinha exigências próprias, e uma resposta coordenada a incidentes era quase impossível;

Dependência tecnológica crescente: operações críticas rodando inteiramente em infraestrutura de terceiros;

Pressão por resiliência de verdade: política de segurança e plano de continuidade no papel não seguram uma operação em crise. O problema, na maior parte das vezes, não é a ferramenta: é o processo que não existe por trás dela.

O regulamento DORA responde a isso como um regime de resiliência pensado para riscos sistêmicos, não individuais: unifica as regras na Europa e antecipa os riscos criados por cadeias digitais cada vez mais complexas.

Os 5 pilares essenciais do DORA

O regulamento DORA se sustenta em cinco pilares. Antes de detalhar cada um, um mapa rápido do que cada pilar cobra na prática:

Pilar	O que o DORA exige
1. Gerenciamento de riscos de TIC	Estrutura formal de governança, políticas e controles para identificar, proteger, detectar, responder e recuperar
2. Gestão de riscos de terceiros	Monitoramento de fornecedores, cláusulas contratuais obrigatórias, planos de saída e Register of Information
3. Testes de resiliência operacional	Testes de continuidade e recuperação, com Threat-Led Penetration Testing (TLPT) para as instituições mais relevantes
4. Reporte de incidentes de TIC	Classificação e reporte de incidentes significativos conforme critérios (RTS) e formatos (ITS) definidos pelas autoridades europeias
5. Compartilhamento de informações	Troca de inteligência sobre ameaças (cyber threat intelligence) entre as instituições

1. ICT Risk Management Framework (Gerenciamento de Riscos de TIC)

O primeiro pilar exige uma estrutura formal de políticas, processos e controles para identificar, avaliar, proteger, detectar, responder e se recuperar de riscos de TIC. Na prática, as entidades precisam manter:

Governança clara para riscos de TIC;

Inventário atualizado de ativos;

Controles técnicos proporcionais ao risco;

Mecanismos de resposta e recuperação;

Revisões contínuas do programa de riscos.

Se a sua empresa já opera um Sistema de Gestão de Segurança da Informação alinhado à ISO/IEC 27001, essa disciplina vai soar familiar. Veja o que é a ISO/IEC 27001. A diferença é o foco explícito em resiliência digital no ambiente financeiro. Quem construiu o SGSI pela cultura, e não pelo selo, chega nesse pilar com meio caminho andado.

2. ICT Third-Party Risk Management (Gestão de Riscos de Terceiros)

Aqui o DORA mexe no ponto mais sensível da cadeia: a dependência de terceiros que prestam serviços de tecnologia, incluindo provedores de nuvem, data centers e fornecedores de software. As obrigações são concretas:

Monitoramento contínuo do desempenho e da segurança dos fornecedores;

Cláusulas contratuais obrigatórias (key contractual provisions);

Planos de saída (exit strategies) para garantir a continuidade se o fornecedor falhar;

Registro de todas as relações no Register of Information, uma base obrigatória de informações sobre terceiros.

É a primeira vez que a União Europeia estabelece uma supervisão centralizada, acima das autoridades nacionais, para provedores críticos de TIC. E essa lógica de gestão de fornecedores não é novidade para quem trabalha com modelos de maturidade: o CMMI, no domínio de Fornecedores da versão V3.0 (área de prática Supplier Agreement Management, SAM), já estrutura práticas de seleção, monitoramento e controle de riscos de terceiros de forma repetível. Não existe nada novo do novo: o que o DORA fez foi transformar boa prática em obrigação legal.

3. Digital Operational Resilience Testing (Testes de Resiliência)

Sem teste, não há como saber onde a operação está. O DORA transforma esse princípio em obrigação escalonada: todas as entidades precisam realizar testes básicos de continuidade e recuperação, e as instituições mais relevantes entram na categoria dos testes avançados, que incluem o Threat-Led Penetration Testing (TLPT).

O TLPT simula ataques reais, com as táticas que grupos maliciosos usam de verdade, conduzido por equipes independentes e qualificadas. O objetivo é medir com realismo a capacidade de resposta e recuperação em cenários extremos, em vez de confiar na sensação de segurança.

4. ICT-related Incident Reporting (Reporte de Incidentes)

As entidades devem classificar e reportar incidentes significativos de TIC conforme padrões definidos pelas autoridades europeias:

Critérios de classificação definidos em RTS (Regulatory Technical Standards);

Formulários e templates definidos em ITS (Implementing Technical Standards);

Prazos obrigatórios de reporte;

Envio estruturado às autoridades competentes.

A intenção é criar uma base de dados europeia que permita resposta coordenada a incidentes relevantes. Rastreabilidade, no fim das contas: saber o que aconteceu, quando e com que impacto, para a lição virar aprendizado coletivo e não culpa individual.

5. Information Sharing (Compartilhamento de Informações)

O quinto pilar incentiva o compartilhamento de informações sobre ameaças, vulnerabilidades e indicadores de ataque, a chamada cyber threat intelligence. É o DORA construindo pontes entre instituições que, até ontem, tratavam informação de segurança como segredo competitivo. A prevenção coletiva detecta riscos emergentes mais rápido do que qualquer empresa sozinha.

A estrutura legal do regulamento DORA

Segundo a EIOPA (European Insurance and Occupational Pensions Authority), o DORA se organiza em três níveis normativos. Vale entender essa hierarquia, porque é ela que responde a pergunta prática: onde está escrito o que a minha empresa precisa cumprir?

Nível 1: Regulation and amending Directive

O Regulamento (UE) 2022/2554, com regras diretamente aplicáveis em todos os Estados-Membros, e a Diretiva (UE) 2022/2556, que ajusta outras diretivas do setor financeiro à lógica da resiliência operacional digital. É o nível que define o que deve existir (gestão de risco de TIC, reporte, testes, terceiros, supervisão) e quem deve cumprir.

Nível 2: Regulatory, implementing and delegated acts

Os instrumentos que detalham como cumprir o Nível 1: RTS (Regulatory Technical Standards) com requisitos técnicos obrigatórios, ITS (Implementing Technical Standards) padronizando formatos e fluxos (templates, registros, reporte) e Delegated Regulations definindo critérios operacionais específicos, como a designação de provedores críticos e as taxas de supervisão.

Nível 3: Guidelines

Orientações emitidas pelas autoridades europeias (as ESAs) para uniformizar interpretação e aplicação. Funcionam como referência de supervisão e boas práticas, sem o peso normativo do Nível 2.

Oversight europeu para provedores críticos

Um dos pontos mais inovadores do DORA é a supervisão (oversight) em nível europeu para os provedores de TIC críticos, os CTPPs (Critical ICT Third-Party Providers). As autoridades da UE (EBA, ESMA, EIOPA) têm poder para:

Fazer inspeções on-site e off-site;

Exigir planos de ação e correções;

Cobrar taxas de supervisão (oversight fees).

É um modelo regulatório supranacional para as empresas de tecnologia globais que sustentam o sistema financeiro. Quem fornece infraestrutura crítica passa a ser fiscalizado como parte do sistema, não como mero fornecedor.

E o descumprimento tem preço. Para os provedores críticos, o DORA prevê multas coercitivas de até 1% do faturamento médio diário mundial do exercício anterior, aplicadas diariamente por até seis meses enquanto a não conformidade não for corrigida. Não é uma multa única: é uma penalidade que cresce a cada dia até a empresa se adequar.

Desafios e tensões regulatórias

Nenhum regulamento dessa ambição chega redondo, e é honesto colocar as tensões na mesa:

Fragmentação x centralização: supervisores nacionais e controle paneuropeu ainda disputam espaço;

Capacidade técnica: fiscalizar um hiperscaler exige especialistas que o próprio mercado disputa;

Inovação x compliance: regras rígidas podem pesar mais para empresas menores ou em rápida evolução;

Riscos sistêmicos persistentes: mesmo com supervisão, a concentração em poucos provedores continua existindo.

Importância do regulamento DORA para empresas brasileiras

“Mas isso é regulamento europeu, por que eu me preocuparia aqui no Brasil?” Porque o DORA viaja pelos contratos. Empresas brasileiras que prestam (ou querem prestar) serviços para o mercado financeiro europeu, ou que fazem parte de cadeias internacionais, já estão recebendo:

Requisitos contratuais mais rígidos;

Auditorias e verificações específicas de TIC;

Controles formais de resiliência operacional.

E empresas integradas a grupos multinacionais podem ser classificadas como partes relevantes de CTPPs, com requisitos adicionais. Esperar a exigência aparecer no edital ou no contrato para começar a se estruturar é a forma mais cara de fazer isso.

Sua empresa está pronta para o DORA?

Se a sua organização presta ou pretende prestar serviços de TI para instituições financeiras europeias, o DORA já impacta contratos, auditorias, governança de fornecedores e continuidade do negócio. A boa notícia: não precisa (nem dá) para resolver tudo de uma vez. Começar aos poucos, naquilo que é possível, com um diagnóstico estruturado de prontidão, permite identificar lacunas, priorizar e se preparar com previsibilidade.

A Promove apoia empresas na avaliação de riscos, na gestão de terceiros críticos, na estruturação de testes de resiliência, no reporte de incidentes e na governança operacional, integrando os requisitos do DORA com ISO/IEC 27001, CMMI e boas práticas consolidadas de engenharia e serviços. Veja o que é a ISO/IEC 27001. Entre em contato e saiba mais!

Perguntas frequentes sobre o regulamento DORA

O que é a regulamentação europeia DORA?

O DORA (Digital Operational Resilience Act) é o Regulamento (UE) 2022/2554, que define requisitos de resiliência operacional digital para o setor financeiro europeu. Ele se aplica a bancos, seguradoras, gestoras e também aos provedores críticos de serviços de TIC que atendem essas instituições, como provedores de nuvem, data centers e fornecedores de software.

Qual é o principal objetivo do DORA?

Criar um regime único na União Europeia para que entidades financeiras e seus fornecedores de tecnologia consigam resistir, responder e se recuperar de interrupções de TI, sejam elas causadas por falhas técnicas, ciberataques ou dependência excessiva de terceiros. Antes do DORA, cada país tinha exigências próprias, o que fragmentava a supervisão e dificultava respostas coordenadas.

Quais são os princípios-chave do DORA?

O DORA se organiza em 5 pilares: gerenciamento de riscos de TIC (framework formal de políticas e controles), gestão de riscos de terceiros (incluindo contratos e planos de saída), testes de resiliência operacional digital (incluindo o Threat-Led Penetration Testing para instituições relevantes), reporte de incidentes relacionados a TIC e compartilhamento de informações sobre ameaças (cyber threat intelligence).

Quando o DORA entrou em vigor?

O Regulamento (UE) 2022/2554 está em aplicação desde 17 de janeiro de 2025. Desde essa data, entidades financeiras da União Europeia e seus provedores críticos de TIC precisam cumprir os requisitos de gestão de riscos, testes, reporte de incidentes e gestão de terceiros definidos pelo regulamento e pelas normas técnicas complementares (RTS e ITS).

Que tipos de incidentes devem ser classificados e reportados de acordo com o DORA?

O DORA exige o reporte de incidentes de TIC significativos, aqueles com potencial de comprometer a continuidade dos negócios ou a estabilidade das operações financeiras. Os critérios de classificação são definidos em RTS (Regulatory Technical Standards) e os formatos e prazos de reporte em ITS (Implementing Technical Standards), com envio estruturado às autoridades competentes.

O DORA se aplica a empresas brasileiras?

Não diretamente, mas na prática sim para quem atende o mercado europeu. Empresas brasileiras que prestam serviços de TI para instituições financeiras da União Europeia, ou que integram grupos multinacionais classificados como provedores críticos (CTPPs), precisam cumprir requisitos contratuais, auditorias e controles formais de resiliência operacional exigidos pelo regulamento.