O Regulamento (UE) 2022\/2554, conhecido como DORA, foi publicado em 27 de dezembro de 2022 e aplica-se desde 17 de janeiro de 2025. O que n\u00e3o chegou com ele foi uma lista de destinat\u00e1rios.<\/p>\n
A CNMV, a autoridade espanhola dos mercados de valores, coloca a quest\u00e3o sem rodeios no seu documento de perguntas frequentes sobre o Regulamento DORA<\/a>. Questionada sobre a exist\u00eancia de um registo oficial que permita consultar as entidades abrangidas, a resposta \u00e9 que n\u00e3o: cabe \u00e0s pr\u00f3prias entidades financeiras determinar se o DORA lhes \u00e9 aplic\u00e1vel e ser proativas no cumprimento, em vez de aguardarem que a autoridade lhes comunique que est\u00e3o abrangidas.<\/p>\n Isso transforma uma tarefa habitualmente tratada como formalidade pr\u00e9via na primeira obriga\u00e7\u00e3o real. Este artigo n\u00e3o percorre os cinco pilares do regulamento nem entra nos testes de resili\u00eancia operacional digital. Delimita a que entidades se aplica o DORA, quem fica de fora e a raz\u00e3o pela qual a obriga\u00e7\u00e3o acaba por alcan\u00e7ar fornecedores tecnol\u00f3gicos que n\u00e3o s\u00e3o entidades financeiras.<\/p>\n O DORA \u00e9 o regulamento europeu que fixa requisitos comuns de resili\u00eancia operacional digital para o setor financeiro. O artigo 2.\u00ba enumera as categorias de entidades financeiras que ficam dentro do \u00e2mbito de aplica\u00e7\u00e3o, e a lista \u00e9 longa.<\/p>\n Entram as institui\u00e7\u00f5es de cr\u00e9dito, as institui\u00e7\u00f5es de pagamento e de moeda eletr\u00f3nica, as empresas de investimento, os prestadores de servi\u00e7os de criptoativos, as centrais de valores mobili\u00e1rios, as contrapartes centrais, as plataformas de negocia\u00e7\u00e3o, as sociedades gestoras e os gestores de fundos de investimento alternativos, as empresas de seguros e de resseguros, os mediadores de seguros, os fundos de pens\u00f5es profissionais, os prestadores de servi\u00e7os de comunica\u00e7\u00e3o de dados e os prestadores de servi\u00e7os de financiamento colaborativo.<\/p>\n O crit\u00e9rio geogr\u00e1fico \u00e9 igualmente amplo. O regulamento abrange as entidades financeiras que prestam servi\u00e7os na Uni\u00e3o Europeia, e as sucursais permanecem obrigadas como parte integrante da entidade. Os seus sistemas integram-se no quadro de gest\u00e3o de riscos da casa-m\u00e3e, os seus colaboradores t\u00eam de conhecer as pol\u00edticas de seguran\u00e7a aplic\u00e1veis e participar nos respetivos planos de forma\u00e7\u00e3o.<\/p>\n A supervis\u00e3o, em contrapartida, n\u00e3o \u00e9 centralizada. Segue a reparti\u00e7\u00e3o j\u00e1 existente por tipo de entidade, pelo que a autoridade que te pode pedir explica\u00e7\u00f5es sobre o DORA \u00e9 a mesma que j\u00e1 te supervisiona. Em Espanha isso significa o Banco de Espa\u00f1a para as institui\u00e7\u00f5es de cr\u00e9dito e de pagamento, a CNMV para as empresas de investimento, prestadores de servi\u00e7os de criptoativos, infraestruturas de mercado e sociedades gestoras, e a DGSFP para os seguros e os fundos de pens\u00f5es profissionais. Os fornecedores terceiros designados como cr\u00edticos ficam ainda sujeitos a uma camada europeia adicional, o quadro de supervis\u00e3o dos artigos 31.\u00ba a 44.\u00ba.<\/p>\n Existem exclus\u00f5es expressas e vale a pena l\u00ea-las com aten\u00e7\u00e3o, porque s\u00e3o estreitas.<\/p>\n O artigo 2.\u00ba, n.\u00ba 3, al\u00ednea a) deixa de fora os gestores de fundos de investimento alternativos previstos no artigo 3.\u00ba, n.\u00ba 2, da Diretiva 2011\/61\/UE, desde que as carteiras geridas n\u00e3o excedam 100 milh\u00f5es de euros no total, ou 500 milh\u00f5es quando sejam compostas exclusivamente por fundos sem recurso a alavancagem e sem direitos de reembolso exerc\u00edveis durante um per\u00edodo m\u00ednimo de cinco anos a contar do investimento inicial. Essas entidades podem ainda assim adotar voluntariamente o quadro, op\u00e7\u00e3o sensata se preverem um crescimento que as coloque acima dos limiares.<\/p>\n Fora desses casos, a dimens\u00e3o n\u00e3o funciona como porta de sa\u00edda. A algumas entidades, como as empresas de investimento pequenas e n\u00e3o interligadas e as microempresas, aplica-se o quadro simplificado de gest\u00e3o do risco das TIC do artigo 16.\u00ba, e o artigo 4.\u00ba introduz o princ\u00edpio da proporcionalidade. Nenhuma das duas coisas \u00e9 uma isen\u00e7\u00e3o. A proporcionalidade ajusta a intensidade das medidas ao perfil de risco e \u00e0 complexidade das opera\u00e7\u00f5es, n\u00e3o a lista de artigos de cumprimento obrigat\u00f3rio. Para dar uma medida, o regulamento considera microempresa a entidade financeira que emprega menos de dez pessoas e cujo volume de neg\u00f3cios anual ou balan\u00e7o total anual n\u00e3o excede dois milh\u00f5es de euros.<\/p>\n \u00c9 aqui que o per\u00edmetro \u00e9 mal calculado mais vezes. O DORA define os servi\u00e7os de TIC de forma deliberadamente ampla, como os servi\u00e7os digitais e de dados prestados atrav\u00e9s de sistemas de TIC a um ou mais utilizadores de forma continuada. Com essa defini\u00e7\u00e3o, quase qualquer plataforma que uma entidade financeira use na opera\u00e7\u00e3o di\u00e1ria entra na conversa, e a obriga\u00e7\u00e3o chega aos fornecedores em tr\u00eas intensidades distintas.<\/p>\n Dois detalhes alargam ainda mais o c\u00edrculo. Os fornecedores intragrupo contam como fornecedores terceiros, mesmo quando s\u00e3o detidos integralmente por entidades do mesmo grupo, com os mesmos requisitos aplic\u00e1veis. E a cadeia de subcontrata\u00e7\u00e3o tamb\u00e9m entra, porque o subcontratado tem de conceder \u00e0 entidade financeira e \u00e0s autoridades os mesmos direitos contratuais de acesso e inspe\u00e7\u00e3o do fornecedor principal.<\/p>\n O efeito pr\u00e1tico \u00e9 que uma empresa tecnol\u00f3gica que n\u00e3o \u00e9 entidade financeira pode encontrar os requisitos do DORA numa negocia\u00e7\u00e3o contratual, e n\u00e3o num boletim oficial. \u00c9 a mesma desloca\u00e7\u00e3o para a cadeia de fornecimento que j\u00e1 vimos ao analisar as exig\u00eancias de sensibiliza\u00e7\u00e3o da Diretiva NIS2<\/a>.<\/p>\n Definido o \u00e2mbito, a obriga\u00e7\u00e3o sobre o pessoal aparece com nome pr\u00f3prio. O artigo 13.\u00ba, n.\u00ba 6, estabelece que as entidades financeiras desenvolvem programas de sensibiliza\u00e7\u00e3o em mat\u00e9ria de seguran\u00e7a das TIC e de forma\u00e7\u00e3o sobre resili\u00eancia operacional digital, que constituem m\u00f3dulos obrigat\u00f3rios dos programas de forma\u00e7\u00e3o do pessoal.<\/p>\n Tr\u00eas detalhes desse n\u00famero mudam o desenho de um programa. Os programas aplicam-se a todos os colaboradores e aos quadros superiores. T\u00eam de ter um n\u00edvel de complexidade adequado \u00e0s atribui\u00e7\u00f5es de cada fun\u00e7\u00e3o, o que afasta o curso \u00fanico para todo o efetivo. E, quando adequado, as entidades incluem tamb\u00e9m os fornecedores terceiros de servi\u00e7os de TIC nos respetivos planos de forma\u00e7\u00e3o, pelo que a forma\u00e7\u00e3o atravessa o mesmo limite que acab\u00e1mos de tra\u00e7ar.<\/p>\n Os quadros superiores n\u00e3o ficam de fora. O \u00f3rg\u00e3o de administra\u00e7\u00e3o \u00e9 o respons\u00e1vel \u00faltimo pelo quadro de gest\u00e3o do risco das TIC e deve ter conhecimentos, compet\u00eancias e experi\u00eancia suficientes sobre risco tecnol\u00f3gico e resili\u00eancia digital, al\u00e9m de os manter atualizados. No setor financeiro \u00e9 uma dire\u00e7\u00e3o j\u00e1 vis\u00edvel noutros quadros normativos, como referi ao revisitar o fator humano nas expectativas do supervisor financeiro<\/a>. O modo como um programa destes se articula por audi\u00eancia est\u00e1 na p\u00e1gina de conformidade com o DORA da SMARTFENSE<\/a>.<\/p>\n Demonstra-se com registos, e com registos que falem de fun\u00e7\u00f5es. Um ponto que surpreende quem chega de outro quadro normativo \u00e9 que uma certifica\u00e7\u00e3o n\u00e3o encerra o assunto: a certifica\u00e7\u00e3o ISO 27001, ou outra equivalente, atesta um conjunto de pr\u00e1ticas padr\u00e3o de ciberseguran\u00e7a que n\u00e3o est\u00e3o adaptadas \u00e0s obriga\u00e7\u00f5es do DORA, e as autoridades esperam uma an\u00e1lise de lacunas para verificar o n\u00edvel de adequa\u00e7\u00e3o. O mesmo vale para os fornecedores, cuja certifica\u00e7\u00e3o pode integrar a dilig\u00eancia devida sem a substituir. A diferen\u00e7a entre comprovar forma\u00e7\u00e3o e comprovar comportamento j\u00e1 a tratei ao desdobrar o controlo 6.3 da ISO 27001:2022<\/a>.<\/p>\n Na camada das pessoas, a evid\u00eancia que sustenta o cumprimento costuma apoiar-se nestes elementos:<\/p>\n A isso soma-se uma obriga\u00e7\u00e3o de reporte que conv\u00e9m ter no calend\u00e1rio. As entidades mant\u00eam um registo de informa\u00e7\u00e3o de todos os acordos contratuais sobre a utiliza\u00e7\u00e3o de servi\u00e7os de TIC, que distingue os que suportam fun\u00e7\u00f5es cr\u00edticas ou importantes dos que n\u00e3o. As autoridades exigem-no com car\u00e1cter anual para o remeterem \u00e0s Autoridades Europeias de Supervis\u00e3o para a designa\u00e7\u00e3o dos fornecedores cr\u00edticos. O problema que surge em qualquer auditoria repete-se aqui, e foi desenvolvido em as perguntas do auditor que uma folha de c\u00e1lculo n\u00e3o responde<\/a>.<\/p>\nA que entidades se aplica o DORA?<\/h2>\n
Quem fica fora do \u00e2mbito de aplica\u00e7\u00e3o?<\/h2>\n
Porque o teu fornecedor de TIC tamb\u00e9m est\u00e1 dentro<\/h2>\n
\n
O que exige o DORA sobre as pessoas quando te \u00e9 aplic\u00e1vel<\/h2>\n
Como se demonstra perante a autoridade competente?<\/h2>\n
\n