DORA: o que exige e como provar que cumpre
Resposta curta
O DORA (Regulamento de Resiliência Operacional Digital) é um regulamento da UE, em vigor desde janeiro de 2025, para as entidades financeiras na UE e os seus fornecedores de TIC terceiros críticos. Exige gestão de risco TIC (Artigos 5-16), a classificação e o reporte de incidentes TIC graves (Artigos 17-23), com notificação inicial em 4 horas após a classificação, relatório intercalar em 72 horas e relatório final em 1 mês, testes de resiliência (Artigos 24-27) e gestão do risco de terceiros TIC (Artigos 28-44). A ROOTKey mapeia estes requisitos sobre a sua infraestrutura existente, com provas criptográficas verificáveis e auditáveis.
- Sanção a fornecedores TIC críticos
- 1%do volume de negócios diário médio mundial, por dia, até 6 meses
- Notificação inicial
- 4hapós classificação de incidente grave
- Tipos de entidade
- 20+financeiras abrangidas pelo regulamento
- Aplicação obrigatória
- Jan 2025em vigor em toda a União Europeia
Quem está abrangido e o que está em jogo
O DORA (Regulamento de Resiliência Operacional Digital) entrou em vigor em janeiro de 2025. Aplica-se às entidades financeiras na UE, incluindo bancos, seguradoras, empresas de investimento, prestadores de serviços de criptoativos e os seus fornecedores de TIC terceiros críticos. As sanções variam consoante o tipo de entidade.
| Entidade | Sanção |
|---|---|
| Fornecedores de serviços de TIC terceiros críticos | Sanções pecuniárias compulsórias até 1% do volume de negócios diário médio mundial do exercício anterior, aplicadas por dia até ao cumprimento e durante seis meses no máximo (art. 35.º, n.ºs 7 e 8) |
| Entidades financeiras | Sanções administrativas e medidas corretivas definidas por cada Estado-Membro (art. 50.º); o DORA não fixa um montante a nível da UE |
Fonte: Regulamento (UE) 2022/2554 no EUR-Lex, artigos 35.º e 50.º.
O DORA em cinco minutos
Uma explicação em linguagem simples do regulamento: quem abrange, o que exige e onde entra a integridade dos dados.
A NIS2, o DORA e o RGPD são explicados no mesmo formato na playlist Compliance do nosso canal de YouTube.
O que o DORA exige, artigo a artigo
O DORA exige quadros documentados de gestão de risco de TIC, planos de continuidade de negócio, classificação e notificação de incidentes, testes de resiliência operacional digital e gestão do risco de TIC de terceiros com evidências de auditoria imutáveis. Veja como cada requisito se mapeia na ROOTKey.
| Artigo | Requisito | ROOTKey | Estado |
|---|---|---|---|
| Artigos 5-16Gestão de risco TIC | As entidades financeiras devem implementar um framework robusto de gestão de risco TIC com políticas documentadas, controlos e mecanismos de continuidade. | Registo imutável de políticas TIC com hash criptográfico verificável por versão e histórico ancorado - adulteração retroativa criptograficamente detetável. | Coberto |
| Artigos 17-23Classificação de incidentes | Classificação, monitorização e reporte de incidentes TIC graves com critérios definidos e prazos de notificação estipulados. | Carimbos temporais criptograficamente assinados para cada evento. Cadeia de custódia verificável com exportação estruturada para reguladores em segundos. O relatório indica o que mudou, quem, quando e onde. | Coberto |
| Artigos 24-27Testes de resiliência | Programa de testes regulares de resiliência operacional digital, incluindo avaliações de vulnerabilidade e testes baseados em ameaças. | Recovery Points com verificação criptográfica de integridade - evidência verificável de que os sistemas de recuperação não foram comprometidos antes de serem testados. | Coberto 26 · parcial |
| Artigos 28-44Risco de terceiros TIC | Gestão rigorosa do risco de fornecedores terceiros TIC, incluindo due diligence, contratos e direitos de auditoria. | Verificação criptográfica de acesso por design: cada acesso de terceiros é autenticado com prova criptográfica e registado de forma imutável, sem confiança implícita. | Autenticado · registado de forma imutável |
Artigos 19-20: prazos de notificação de incidentes
O DORA obriga à notificação de incidentes de TIC relevantes às autoridades competentes. A ancoragem por hash criptográfico da ROOTKey cria cronologias de incidentes invioláveis que constituem a base probatória para a comunicação regulatória.
| Prazo | Fase | Detalhe |
|---|---|---|
| T0 | Deteção e classificação | Logs com carimbos temporais imutáveis e exportação estruturada - evidência verificável do momento de deteção e classificação, pronta em minutos. |
| 4h | Notificação inicial | Notificação inicial à autoridade competente em 4 horas após classificação de incidente grave. |
| 72h | Relatório intercalar | Relatório intercalar em 72 horas após a notificação inicial. |
| 1 mês | Relatório final | Relatório final em 1 mês. |
Onde entra a ROOTKey: sobre a sua infraestrutura, não em vez dela
A ROOTKey não substitui sistemas existentes. Adiciona uma camada de verificação criptográfica via API - sem migrações, sem vendor lock-in.
- Evidência criptográfica auditável
- Cada ação crítica gera uma prova independente, verificável por auditores externos sem aceder aos dados originais.
- Recovery points verificáveis
- Backups com integridade verificada criptograficamente: data, conteúdo e integridade, tudo verificável.
- Carimbos temporais imutáveis
- Cadeia de custódia de cada evento de segurança, com evidência verificável de quando aconteceu.
Qualquer ficheiro, a mesma prova
PDF, imagens, Word, Excel, PowerPoint, tabelas e bases de dados: seja qual for o ficheiro, a ROOTKey compara-o com o original selado e mostra apenas o que foi alterado.
- Implementação
- SaaS · Cloud privada · On-premise
- Conectores
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · tabelas e bases de dados · REST API e webhooks
Integração: operacional em dias, não em meses
API REST documentada e webhooks, suporte enterprise dedicado. A ROOTKey adapta-se à sua infraestrutura - não o contrário.
Integração via API
REST API documentada e webhooks. Operacional em dias, sem substituir a infraestrutura existente.
Provas automáticas
Cada evento crítico gera uma prova criptográfica imutável e auditável, com esforço operacional mínimo.
Reporte instantâneo
Painel de conformidade em tempo real e exportação de evidências para reguladores em segundos.
Perguntas frequentes
O que é o DORA e quem tem de cumprir?
O DORA (Regulamento de Resiliência Operacional Digital) entrou em vigor em janeiro de 2025. Aplica-se às entidades financeiras na UE, incluindo bancos, seguradoras, empresas de investimento, prestadores de serviços de criptoativos e os seus fornecedores de TIC terceiros críticos.
O que exige o DORA em matéria de gestão de risco de TIC?
O DORA exige quadros documentados de gestão de risco de TIC, planos de continuidade de negócio, classificação e notificação de incidentes, testes de resiliência operacional digital e gestão do risco de TIC de terceiros com evidências de auditoria imutáveis.
Como é que a ROOTKey apoia a notificação de incidentes DORA?
O DORA obriga à notificação de incidentes de TIC relevantes às autoridades competentes. A ancoragem por hash criptográfico da ROOTKey cria cronologias de incidentes invioláveis que constituem a base probatória para a comunicação regulatória.
Quais são as sanções pelo incumprimento do DORA?
Os fornecedores de serviços de TIC terceiros críticos estão sujeitos a sanções pecuniárias compulsórias até 1% do volume de negócios diário médio mundial do exercício anterior, aplicadas por dia durante seis meses no máximo (art. 35.º). As sanções para as entidades financeiras são definidas por cada Estado-Membro (art. 50.º); o DORA não fixa um montante a nível da UE.