Resumo rápido
O que é a DORA
A DORA (Digital Operational Resilience Act) é o regulamento europeu que obriga o setor financeiro a resistir, responder e recuperar de perturbações ligadas às tecnologias de informação e comunicação (TIC): ciberataques, falhas de sistemas, falhas de fornecedores. Harmoniza num só texto regras que antes estavam dispersas por orientações setoriais e leis nacionais.
Por ser um regulamento, aplica-se diretamente em todos os Estados-Membros, sem necessidade de transposição. O que cada país definiu foi a designação das autoridades competentes e o regime de sanções. Em Portugal, a Lei n.º 73/2025, de 23 de dezembro de 2025, fez essa execução nacional.
Para as entidades financeiras abrangidas, a DORA é tratada como regime setorial específico: aplica-se, em regra, a gestão do risco TIC e a notificação de incidentes da DORA, em vez das regras equivalentes da NIS2.
Calendário e prazos
- 16 jan. 2023Entrada em vigor do Regulamento DORA. Começa o período de preparação de dois anos.
- 2024 – 2025Normas técnicas aprovadas (classificação de incidentes, modelos de notificação, registo de informação, testes TLPT), complementando o regulamento.
- 17 jan. 2025A DORA passa a ser aplicável em toda a União Europeia.
- Abr. 2025Primeiro envio do registo de informação sobre os contratos com fornecedores TIC às autoridades competentes.
- 18 nov. 2025Designados os primeiros 19 fornecedores TIC críticos pelas autoridades europeias de supervisão (EBA, EIOPA e ESMA). Os de países terceiros têm 12 meses para constituir uma filial na UE.
- 23 dez. 2025Lei n.º 73/2025 publicada em Portugal: autoridades competentes e regime sancionatório.
- 2026 em dianteFase de supervisão ativa. As autoridades verificam o registo de informação, os contratos, os testes e a capacidade de notificação.
Entidades abrangidas
Entidades financeiras (Artigo 2.º)
A DORA abrange cerca de 20 tipos de entidades financeiras, entre eles:
- Instituições de crédito (bancos)
- Instituições de pagamento e de moeda eletrónica
- Prestadores de serviços de informação sobre contas
- Empresas de investimento
- Prestadores de serviços de criptoativos e emitentes de fichas referenciadas a ativos
- Contrapartes centrais e centrais de valores mobiliários
- Plataformas de negociação e repositórios de transações
- Gestores de fundos de investimento alternativos e sociedades gestoras de OICVM
- Empresas de seguros e de resseguros
- Intermediários de seguros e de resseguros
- Fundos de pensões profissionais
- Agências de notação de crédito e administradores de índices de referência críticos
- Prestadores de serviços de financiamento colaborativo
- Repositórios de titularização e prestadores de serviços de comunicação de dados
Estão previstas exclusões e regimes simplificados em casos específicos (por exemplo, certas entidades pequenas e não interligadas). Confirme o enquadramento da sua entidade no Artigo 2.º do regulamento.
Prestadores de serviços TIC
Os fornecedores de serviços TIC (nuvem, software, centros de dados, serviços geridos, análise de dados, plataformas) entram na DORA de duas maneiras: indiretamente, através dos contratos que as entidades financeiras são obrigadas a ter com eles, e diretamente, se forem designados como fornecedores TIC críticos, caso em que são supervisionados pelas autoridades europeias.
Proporcionalidade
As regras aplicam-se de forma proporcional à dimensão, ao perfil de risco e à complexidade da entidade (Artigo 4.º). Existe um quadro simplificado de gestão do risco TIC para certas entidades pequenas e não interligadas, e as microempresas estão dispensadas dos testes avançados TLPT.
Requisitos: os cinco pilares
Gestão do risco TIC
Quadro documentado e aprovado pelo órgão de gestão, com identificação de ativos e funções críticas, proteção, deteção, resposta, recuperação e cópias de segurança. A administração é responsável (Artigo 5.º) e deve ter formação.
Gestão e notificação de incidentes
Processo para detetar, classificar e tratar incidentes, e notificar os graves à autoridade em prazos curtos, com modelos harmonizados.
Testes de resiliência operacional
Programa de testes regulares e, para as entidades identificadas, testes avançados baseados em ameaças (TLPT).
Risco de terceiros TIC
Registo de todos os contratos com fornecedores TIC, avaliação prévia, cláusulas obrigatórias, estratégias de saída e supervisão dos fornecedores críticos.
Partilha de informação
Troca voluntária de informação e de inteligência sobre ciberameaças entre entidades financeiras, em comunidades de confiança.
Notificação de incidentes
Os incidentes TIC graves são notificados à autoridade competente (em Portugal, o Banco de Portugal é o ponto de contacto central para a comunicação de incidentes graves, coordenando com a CMVM e a ASF). A classificação do que é “grave” assenta em critérios definidos em normas técnicas: serviços críticos afetados, número de clientes, duração, dispersão geográfica, perda de dados e impacto económico.
A notificação de ciberameaças significativas é voluntária. Sempre que os clientes possam ser afetados, a entidade tem também de os informar. Para certas entidades há regras especiais quando o prazo termina ao fim de semana ou em feriado.
Testes de resiliência
- Testes regulares. Todas as entidades (exceto as microempresas) mantêm um programa de testes: avaliações de vulnerabilidades, análise de código, testes de cenário, testes de desempenho e de penetração. Os sistemas que suportam funções críticas ou importantes são testados pelo menos uma vez por ano.
- Testes avançados baseados em ameaças (TLPT). Pelo menos de 3 em 3 anos, para as entidades identificadas pelas autoridades com base no impacto no setor, na relevância sistémica e no perfil de risco TIC. Cobrem funções críticas ou importantes em produção, incluindo serviços externalizados, e seguem o enquadramento europeu TIBER-EU.
- Quem testa. Podem participar testadores internos, mas é obrigatório contratar testadores externos de três em três testes, e as instituições de crédito significativas usam apenas testadores externos.
Fornecedores TIC e contratos
O risco de terceiros é um dos temas mais exigentes na prática. As entidades têm de:
- Manter um registo de informação atualizado com todos os acordos contratuais com prestadores TIC, no formato definido pelas normas técnicas, disponível para a autoridade e enviado periodicamente.
- Avaliar o fornecedor antes de contratar, incluindo concentração de risco e subcontratação.
- Incluir cláusulas obrigatórias (Artigo 30.º): descrição dos serviços e níveis de serviço, locais de tratamento e armazenamento de dados, direitos de acesso, inspeção e auditoria, cooperação em incidentes, portabilidade e assistência na transição, e saída documentada do serviço.
- Ter estratégia de saída testada para funções críticas ou importantes.
Para os fornecedores TIC críticos, a supervisão é direta: um supervisor principal (EBA, EIOPA ou ESMA) pode pedir informação, fazer inspeções e emitir recomendações. A 18 de novembro de 2025, foram designados os primeiros 19 prestadores, entre eles grandes fornecedores de nuvem, de software e de infraestrutura financeira.
Supervisão e sanções
A DORA não fixa um valor europeu único de coimas para as entidades financeiras: cada Estado-Membro define o seu regime sancionatório (Artigo 50.º), que deve ser efetivo, proporcional e dissuasor.
| Quem | Como é sancionado |
|---|---|
| Entidades financeiras (Portugal) | Regime da Lei n.º 73/2025, aplicado pelo Banco de Portugal, CMVM e ASF: coimas de valor elevado nas infrações mais graves, aplicáveis a pessoas coletivas e também a pessoas singulares, com divulgação pública das decisões e sanções acessórias. |
| Fornecedores TIC críticos | Sanções pecuniárias compulsórias diárias, que podem chegar a 1% do volume de negócios diário médio mundial, por um período até 6 meses, para forçar o cumprimento. |
| Órgão de gestão | Os membros do órgão de gestão são responsáveis por definir, aprovar, rever e supervisionar o quadro de gestão do risco TIC, e podem ser pessoalmente sancionados. |
Os escalões e montantes exatos das coimas portuguesas devem ser consultados na Lei n.º 73/2025. Não os reproduzimos aqui para evitar erros de transcrição.
Como o fazemos
Ajudamos entidades financeiras e os seus fornecedores a transformar a DORA num programa de trabalho com responsáveis e prazos, em seis passos.
- Enquadramento. Confirmamos se a entidade está abrangida, o regime proporcional aplicável e o papel de cada fornecedor.
- Análise de lacunas (gap analysis). Comparamos a situação atual com os cinco pilares, as normas técnicas e as expectativas do supervisor.
- Quadro de risco TIC e governação. Políticas, funções críticas, ativos, apetite ao risco e aprovação pelo órgão de gestão.
- Terceiros e contratos. Registo de informação, avaliação de fornecedores, revisão de cláusulas do Artigo 30.º e estratégias de saída.
- Incidentes e testes. Processo de classificação e notificação (4 h, 24 h, 72 h, 1 mês), exercícios de simulação e programa de testes, incluindo preparação para TLPT.
- Evidências e melhoria contínua. Documentação pronta para o supervisor e revisões periódicas.
Se é fornecedor TIC de entidades financeiras, preparamos também a sua resposta: pacote de evidências de segurança, cláusulas contratuais tipo, política de notificação de incidentes e plano de saída do serviço.
Perguntas frequentes
A minha empresa é financeira de pequena dimensão. A DORA aplica-se?
Sim, a DORA aplica-se a entidades financeiras de todas as dimensões abrangidas pelo Artigo 2.º, mas com proporcionalidade. Algumas entidades pequenas e não interligadas têm um quadro simplificado de gestão do risco TIC, e as microempresas estão dispensadas de TLPT.
Sou fornecedor de software ou nuvem de um banco. O que muda para mim?
O contrato passa a ter de incluir as cláusulas do Artigo 30.º, o banco inclui-o no registo de informação, e pode pedir auditorias, planos de saída e cooperação em incidentes. Se o fornecedor for designado crítico, fica ainda sob supervisão europeia direta.
A DORA e a NIS2 aplicam-se em simultâneo?
Para as entidades financeiras, a DORA prevalece nas matérias de gestão do risco TIC e de notificação de incidentes. A NIS2 pode continuar a ser relevante para entidades do grupo ou para outras atividades fora do setor financeiro. Fazemos esse enquadramento no diagnóstico.
Que prazos de notificação têm de cumprir?
Notificação inicial até 4 horas após a classificação e no máximo 24 horas após o conhecimento do incidente, relatório intercalar até 72 horas depois, e relatório final até um mês depois do último intercalar.
O que é o registo de informação?
É o inventário estruturado de todos os acordos com prestadores TIC, com os dados definidos nas normas técnicas, que a entidade tem de manter atualizado e enviar à autoridade competente. É a base para avaliar a concentração de risco e a dependência de fornecedores.
Já estamos em 2026 e ainda não começámos. Estamos em incumprimento?
A DORA aplica-se desde 17 de janeiro de 2025, por isso é provável que haja lacunas a corrigir. O melhor caminho é um diagnóstico rápido para perceber onde estão as maiores falhas (normalmente registo de contratos, testes e incidentes), priorizar e documentar o plano de correção.
Fontes e nota legal
- Regulamento (UE) 2022/2554 (DORA), EUR-Lex
- Autoridade FMA (Áustria), prazos de notificação de incidentes DORA
- Regulamento Delegado (UE) 2024/1772 (classificação de incidentes) e Regulamento Delegado (UE) 2025/301 (conteúdo e prazos da notificação)
- Regulamento Delegado (UE) 2025/1190 (testes TLPT)
- Lei n.º 73/2025, de 23 de dezembro (execução nacional da DORA em Portugal)