Gestão de risco de TIC
Marco de governança e controle aprovado pelo órgão de administração.
DORA · Regulamento (UE) 2022/2554
DORA: resiliência operacional digital para o setor financeiro
Ajudamos você a cumprir o DORA, como entidade financeira europeia ou como fornecedor de serviços de TIC de uma delas.
O que é o DORA?
Obrigatório desde janeiro de 2025
O DORA é um regulamento europeu de aplicação direta desde 17 de janeiro de 2025: não precisa de lei nacional e é igual em toda a União Europeia.
Exige que bancos, seguradoras, instituições de pagamento, gestoras, prestadores de criptoativos e outras entidades financeiras resistam, respondam e se recuperem de incidentes de TIC.
Também alcança seus fornecedores de serviços de TIC: os contratos devem incluir cláusulas específicas e os fornecedores críticos ficam sob supervisão das autoridades europeias.
Os cinco pilares
O que o regulamento exige
Incidentes de TIC
Classificação, gestão e notificação dos incidentes graves à autoridade.
Testes de resiliência
Programa anual de testes e, para entidades significativas, testes de intrusão baseados em ameaças (TLPT) a cada três anos.
Risco de terceiros de TIC
Registro de informações, cláusulas contratuais e estratégia de saída.
Compartilhamento de informações
Acordos para compartilhar inteligência sobre ameaças.
Fases
Como abordamos
- 1Análise de aplicabilidade e proporcionalidade conforme o tipo e o porte da entidade.
- 2Avaliação de lacunas em relação ao regulamento e suas normas técnicas.
- 3Marco de gestão de risco de TIC, políticas e papel do órgão de administração.
- 4Registro de informações de fornecedores de TIC e revisão de contratos.
- 5Classificação e notificação de incidentes e programa de testes de resiliência.
- 6Auditoria interna e acompanhamento perante o supervisor.
Se você é fornecedor de TIC
O que seus clientes financeiros vão pedir
Cláusulas contratuais
Níveis de serviço, localização dos dados, auditoria, notificação e saída.
Participação em testes
Colaborar com os testes de resiliência do seu cliente, incluindo os TLPT.
Gestão de incidentes
Avisar rapidamente e fornecer informações para a notificação regulatória.
Evidência de controles
ISO 27001, SOC 2 ou auditorias que respaldem sua segurança.
Os fornecedores de TIC designados como críticos ficam sob a supervisão direta das Autoridades Europeias de Supervisão.
Por que DORA
Resiliência como vantagem
Continuidade do serviço
Seus serviços financeiros resistem a incidentes e se recuperam rapidamente.
Conformidade demonstrável
Você chega à inspeção com evidências organizadas.
Fornecedores sob controle
Você conhece e gerencia o risco da sua cadeia de TIC.
Integração com ISO
Você aproveita a ISO 27001 e a ISO 22301 como base.
A quem se aplica
Entidades financeiras e seus fornecedores de TIC
- Bancos e instituições de crédito
- Instituições de pagamento e de moeda eletrônica
- Seguradoras e resseguradoras
- Gestoras de fundos e empresas de investimento
- Prestadores de criptoativos
- Fintechs com licença europeia
- Fornecedores de nuvem e serviços de TIC
- Fornecedores de software financeiro
Perguntas frequentes
O que mais nos perguntam
O que é o DORA?
É o Regulamento (UE) 2022/2554 sobre resiliência operacional digital do setor financeiro. Unifica as exigências de gestão de risco de TIC, incidentes, testes e terceiros.
Desde quando é obrigatório?
Desde 17 de janeiro de 2025, de forma direta em todos os países da União Europeia.
Afeta fornecedores fora da União Europeia?
Sim. As entidades financeiras devem exigir requisitos contratuais de todos os seus fornecedores de TIC, onde quer que estejam.
Qual a relação com a NIS2?
O DORA é a norma específica para o setor financeiro: onde se sobrepõem, seus requisitos prevalecem sobre os da NIS2.
Você trabalha com o setor financeiro europeu?
Medimos sua lacuna em relação ao DORA e montamos o plano para cumprir, como entidade ou como fornecedor.