O DORA exige às entidades financeiras programas de sensibilização em segurança das TIC e formação em resiliência operacional digital para todo o pessoal e a direção de topo. Damos-lhe esses programas, as avaliações e as evidências para auditoria, mapeados aos artigos do regulamento e segmentados por audiência.
Solicitar uma demonstraçãoSegundo o relatório DBIR da Verizon, o fator humano intervém em cerca de 6 em cada 10 violações de segurança. No setor financeiro, onde o DORA fixa a resiliência operacional como obrigação direta, uma decisão errada pode interromper um serviço crítico em minutos. Por isso o artigo 13 trata a formação e a sensibilização como parte do quadro de gestão de riscos, com evidências que um supervisor pode pedir.
O Regulamento (UE) 2022/2554, aplicável desde 17 de janeiro de 2025, vai muito além da tecnologia. Três obrigações recaem diretamente sobre o seu programa de sensibilização.
O artigo 13 obriga a desenvolver programas de sensibilização em segurança das TIC e formação em resiliência operacional digital, aplicáveis a todos os colaboradores e à direção de topo, com um nível adequado a cada função. Formar as suas pessoas deixa de ser opcional e passa a fazer parte do quadro de gestão de riscos que tem de cumprir e poder demonstrar.
O artigo 5 torna o órgão de direção o responsável último pelo quadro de gestão de risco das TIC. A direção tem de compreender o risco, aprovar o quadro e sustentar uma cultura de ciber-higiene em cada nível corporativo.
O DORA exige detetar, classificar e notificar os incidentes TIC (artigos 17 e 18) e estender a formação aos prestadores terceiros de serviços de TIC quando aplicável (artigos 13 e 28). O risco que entra por um terceiro também é seu, e a formação tem de chegar a essa cadeia.
Não tem de o construir de raiz. O conteúdo mapeado ao DORA já vem preparado e é atribuído por audiência em poucos cliques, cada nível com a sua linguagem e o seu foco.
Ciber-higiene quotidiana, como detetar e reportar o que é suspeito e porque a continuidade do serviço depende também de cada posto. Hábitos aplicáveis desde o primeiro dia, sem tecnicismos regulamentares.
Da norma à mesa de decisões: a responsabilidade do órgão de direção sobre o quadro de riscos TIC, o relógio de notificação de incidentes e a exposição que chega pela cadeia de prestadores. Linguagem de decisão e de risco.
Cada conteúdo está ligado aos artigos do regulamento que cobre. A partir da gestão de normativas da plataforma verifica o grau de conformidade consoante a formação atribuída a cada pessoa.
E cada peça deixa rastreabilidade: quem completou o quê, que resultado obteve e como evoluiu. Essa é a evidência que transforma “formamos as pessoas” em algo verificável.
Acompanhamos há mais de 10 anos organizações de banca, saúde, infraestrutura crítica e setor público a reduzir o risco humano e a deixar evidências auditáveis de que o fazem. A diferença face a uma campanha genérica é a rastreabilidade: quem se formou, que resultado obteve, como respondeu a uma simulação de phishing ou ransomware e como melhorou ao longo do tempo. Essa é a evidência que uma revisão do DORA vai pedir.
Deixe-nos os seus dados e mostramos-lhe como cobrir cada obrigação do regulamento com conteúdo mapeado aos seus artigos, pronto para a sua entidade.