O Regulamento (UE) 2022/2554, conhecido como DORA, foi publicado em 27 de dezembro de 2022 e aplica-se desde 17 de janeiro de 2025. O que não chegou com ele foi uma lista de destinatários.
A CNMV, a autoridade espanhola dos mercados de valores, coloca a questão sem rodeios no seu documento de perguntas frequentes sobre o Regulamento DORA. Questionada sobre a existência de um registo oficial que permita consultar as entidades abrangidas, a resposta é que não: cabe às próprias entidades financeiras determinar se o DORA lhes é aplicável e ser proativas no cumprimento, em vez de aguardarem que a autoridade lhes comunique que estão abrangidas.
Isso transforma uma tarefa habitualmente tratada como formalidade prévia na primeira obrigação real. Este artigo não percorre os cinco pilares do regulamento nem entra nos testes de resiliência operacional digital. Delimita a que entidades se aplica o DORA, quem fica de fora e a razão pela qual a obrigação acaba por alcançar fornecedores tecnológicos que não são entidades financeiras.
A que entidades se aplica o DORA?
O DORA é o regulamento europeu que fixa requisitos comuns de resiliência operacional digital para o setor financeiro. O artigo 2.º enumera as categorias de entidades financeiras que ficam dentro do âmbito de aplicação, e a lista é longa.
Entram as instituições de crédito, as instituições de pagamento e de moeda eletrónica, as empresas de investimento, os prestadores de serviços de criptoativos, as centrais de valores mobiliários, as contrapartes centrais, as plataformas de negociação, as sociedades gestoras e os gestores de fundos de investimento alternativos, as empresas de seguros e de resseguros, os mediadores de seguros, os fundos de pensões profissionais, os prestadores de serviços de comunicação de dados e os prestadores de serviços de financiamento colaborativo.
O critério geográfico é igualmente amplo. O regulamento abrange as entidades financeiras que prestam serviços na União Europeia, e as sucursais permanecem obrigadas como parte integrante da entidade. Os seus sistemas integram-se no quadro de gestão de riscos da casa-mãe, os seus colaboradores têm de conhecer as políticas de segurança aplicáveis e participar nos respetivos planos de formação.
A supervisão, em contrapartida, não é centralizada. Segue a repartição já existente por tipo de entidade, pelo que a autoridade que te pode pedir explicações sobre o DORA é a mesma que já te supervisiona. Em Espanha isso significa o Banco de España para as instituições de crédito e de pagamento, a CNMV para as empresas de investimento, prestadores de serviços de criptoativos, infraestruturas de mercado e sociedades gestoras, e a DGSFP para os seguros e os fundos de pensões profissionais. Os fornecedores terceiros designados como críticos ficam ainda sujeitos a uma camada europeia adicional, o quadro de supervisão dos artigos 31.º a 44.º.
Quem fica fora do âmbito de aplicação?
Existem exclusões expressas e vale a pena lê-las com atenção, porque são estreitas.
O artigo 2.º, n.º 3, alínea a) deixa de fora os gestores de fundos de investimento alternativos previstos no artigo 3.º, n.º 2, da Diretiva 2011/61/UE, desde que as carteiras geridas não excedam 100 milhões de euros no total, ou 500 milhões quando sejam compostas exclusivamente por fundos sem recurso a alavancagem e sem direitos de reembolso exercíveis durante um período mínimo de cinco anos a contar do investimento inicial. Essas entidades podem ainda assim adotar voluntariamente o quadro, opção sensata se preverem um crescimento que as coloque acima dos limiares.
Fora desses casos, a dimensão não funciona como porta de saída. A algumas entidades, como as empresas de investimento pequenas e não interligadas e as microempresas, aplica-se o quadro simplificado de gestão do risco das TIC do artigo 16.º, e o artigo 4.º introduz o princípio da proporcionalidade. Nenhuma das duas coisas é uma isenção. A proporcionalidade ajusta a intensidade das medidas ao perfil de risco e à complexidade das operações, não a lista de artigos de cumprimento obrigatório. Para dar uma medida, o regulamento considera microempresa a entidade financeira que emprega menos de dez pessoas e cujo volume de negócios anual ou balanço total anual não excede dois milhões de euros.
Porque o teu fornecedor de TIC também está dentro
É aqui que o perímetro é mal calculado mais vezes. O DORA define os serviços de TIC de forma deliberadamente ampla, como os serviços digitais e de dados prestados através de sistemas de TIC a um ou mais utilizadores de forma continuada. Com essa definição, quase qualquer plataforma que uma entidade financeira use na operação diária entra na conversa, e a obrigação chega aos fornecedores em três intensidades distintas.
- Fornecedor terceiro de serviços de TIC. Assume obrigações de forma indireta, para que a entidade financeira não incumpra, com determinadas cláusulas decorrentes do artigo 30.º, n.º 2, e dados como o código LEI ou EUID de que a entidade necessita para manter o seu registo de informação sobre acordos contratuais.
- Fornecedor que suporta funções críticas ou importantes. Exige-se-lhe um conjunto contratual mais estrito, o do artigo 30.º, n.º 3, e o alinhamento com a política de contratação e subcontratação da entidade.
- Fornecedor terceiro crítico. Quando as Autoridades Europeias de Supervisão o designam como crítico ao abrigo do artigo 31.º, o DORA aplica-se-lhe diretamente e passa a estar sujeito ao quadro de supervisão dos artigos 31.º a 44.º.
Dois detalhes alargam ainda mais o círculo. Os fornecedores intragrupo contam como fornecedores terceiros, mesmo quando são detidos integralmente por entidades do mesmo grupo, com os mesmos requisitos aplicáveis. E a cadeia de subcontratação também entra, porque o subcontratado tem de conceder à entidade financeira e às autoridades os mesmos direitos contratuais de acesso e inspeção do fornecedor principal.
O efeito prático é que uma empresa tecnológica que não é entidade financeira pode encontrar os requisitos do DORA numa negociação contratual, e não num boletim oficial. É a mesma deslocação para a cadeia de fornecimento que já vimos ao analisar as exigências de sensibilização da Diretiva NIS2.
O que exige o DORA sobre as pessoas quando te é aplicável
Definido o âmbito, a obrigação sobre o pessoal aparece com nome próprio. O artigo 13.º, n.º 6, estabelece que as entidades financeiras desenvolvem programas de sensibilização em matéria de segurança das TIC e de formação sobre resiliência operacional digital, que constituem módulos obrigatórios dos programas de formação do pessoal.
Três detalhes desse número mudam o desenho de um programa. Os programas aplicam-se a todos os colaboradores e aos quadros superiores. Têm de ter um nível de complexidade adequado às atribuições de cada função, o que afasta o curso único para todo o efetivo. E, quando adequado, as entidades incluem também os fornecedores terceiros de serviços de TIC nos respetivos planos de formação, pelo que a formação atravessa o mesmo limite que acabámos de traçar.
Os quadros superiores não ficam de fora. O órgão de administração é o responsável último pelo quadro de gestão do risco das TIC e deve ter conhecimentos, competências e experiência suficientes sobre risco tecnológico e resiliência digital, além de os manter atualizados. No setor financeiro é uma direção já visível noutros quadros normativos, como referi ao revisitar o fator humano nas expectativas do supervisor financeiro. O modo como um programa destes se articula por audiência está na página de conformidade com o DORA da SMARTFENSE.
Como se demonstra perante a autoridade competente?
Demonstra-se com registos, e com registos que falem de funções. Um ponto que surpreende quem chega de outro quadro normativo é que uma certificação não encerra o assunto: a certificação ISO 27001, ou outra equivalente, atesta um conjunto de práticas padrão de cibersegurança que não estão adaptadas às obrigações do DORA, e as autoridades esperam uma análise de lacunas para verificar o nível de adequação. O mesmo vale para os fornecedores, cuja certificação pode integrar a diligência devida sem a substituir. A diferença entre comprovar formação e comprovar comportamento já a tratei ao desdobrar o controlo 6.3 da ISO 27001:2022.
Na camada das pessoas, a evidência que sustenta o cumprimento costuma apoiar-se nestes elementos:
- Registo de quem recebeu sensibilização e formação, quando e sobre o quê, com cobertura de todo o efetivo e das sucursais.
- Conteúdos diferenciados por função, com um nível de complexidade justificável face às atribuições de cada posto.
- Formação do órgão de administração documentada e sustentada no tempo, e não uma sessão isolada.
- Cobertura dos fornecedores terceiros de serviços de TIC incluídos nos planos de formação quando adequado.
- Rastreabilidade suficiente para alimentar o relatório sobre a revisão do quadro de gestão do risco que a autoridade competente pode solicitar.
A isso soma-se uma obrigação de reporte que convém ter no calendário. As entidades mantêm um registo de informação de todos os acordos contratuais sobre a utilização de serviços de TIC, que distingue os que suportam funções críticas ou importantes dos que não. As autoridades exigem-no com carácter anual para o remeterem às Autoridades Europeias de Supervisão para a designação dos fornecedores críticos. O problema que surge em qualquer auditoria repete-se aqui, e foi desenvolvido em as perguntas do auditor que uma folha de cálculo não responde.
A SMARTFENSE, como plataforma de sensibilização presente na Europa e na América Latina, foi pensada para que esse rasto exista sem o reconstruir à mão. Cada ação de sensibilização, cada avaliação e cada simulação fica registada e segmentada por grupo e por função, que é a unidade em que o DORA coloca a exigência. O resto do mapa normativo coberto está na página de conformidade.
Determinar o âmbito de aplicação é a primeira decisão que a entidade toma sobre o DORA sob a sua própria responsabilidade, e aquela que depois terá de justificar. Esse cálculo raramente para no organigrama próprio, porque segue pela cadeia de fornecedores que sustenta cada função crítica. Quando chegar a pergunta do supervisor, o que contará é o que consegues demonstrar dentro do limite que traçaste.
Deixe um comentário