Regulamento relativo à resiliência operacional digital do setor financeiro — Regulamento (UE) 2022/2554 (DORA)

28/12/2022 17:11
- Legislação Informática

(Atualizado em 23 de agosto de 2026.)

Resiliência operacional digital do setor financeiro

O Regulamento (UE) 2022/2554, de 14 de dezembro de 2022, conhecido como Digital Operational Resilience Act ou DORA, foi publicado no Jornal Oficial da União Europeia em 27 de dezembro de 2022 e entrou em vigor em 16 de janeiro de 2023.

O regulamento tornou-se aplicável em 17 de janeiro de 2025. É diretamente aplicável nos Estados-Membros e estabelece requisitos uniformes destinados a assegurar que as entidades do setor financeiro conseguem prevenir, resistir, responder e recuperar de perturbações relacionadas com as tecnologias da informação e comunicação.

O DORA harmoniza regras sobre governação e gestão do risco associado às TIC, comunicação de incidentes, testes de resiliência operacional digital, partilha de informações sobre ciberameaças e gestão do risco decorrente de terceiros prestadores de serviços de TIC. Nas matérias por ele abrangidas, o DORA constitui um ato jurídico setorial da União para efeitos do artigo 4.º da Diretiva NIS2, nos termos do artigo 1.º, n.º 2, do regulamento, interpretação igualmente refletida no considerando 16.

Quem está abrangido?

O regulamento aplica-se às entidades financeiras indicadas no artigo 2.º e, nos termos especificamente previstos, aos terceiros prestadores de serviços de TIC. Entre as entidades financeiras abrangidas incluem-se, consoante as condições e exceções aplicáveis:

Instituições de crédito, instituições de pagamento, prestadores de serviços de informação sobre contas e instituições de moeda eletrónica;
Empresas de investimento, plataformas de negociação, contrapartes centrais, centrais de valores mobiliários e repositórios de transações;
Prestadores de serviços de criptoativos e emitentes de criptofichas (tokens) referenciadas a ativos;
Gestores de fundos de investimento alternativo, sociedades gestoras e prestadores de serviços de financiamento colaborativo;
Empresas de seguros e de resseguros, mediadores abrangidos e instituições de realização de planos de pensões profissionais;
Agências de notação de risco, administradores de índices de referência críticos, prestadores de serviços de comunicação de dados e repositórios de titularizações.

O DORA contém exclusões e regimes simplificados para determinadas entidades. A aplicação das obrigações deve respeitar o princípio da proporcionalidade, considerando a dimensão, o perfil de risco, a natureza, a escala e a complexidade dos serviços e operações.

Governação e gestão do risco associado às TIC

O órgão de administração da entidade financeira mantém a responsabilidade final pela gestão do risco associado às TIC. Deve definir, aprovar e acompanhar o quadro de gestão do risco, assegurar recursos e conhecimentos adequados, aprovar as políticas de continuidade e recuperação e acompanhar os acordos celebrados com prestadores tecnológicos.

O quadro de gestão deve ser sólido, completo, documentado e integrado no sistema global de gestão de risco.

Deve permitir:

Identificar e classificar funções, ativos de informação, sistemas, dependências e fontes de risco;
Proteger redes, sistemas, dados e instalações através de medidas proporcionais de segurança e controlo de acessos;
Detetar rapidamente atividades anómalas, vulnerabilidades e incidentes;
Responder, conter e recuperar de incidentes relacionados com as TIC;
Manter políticas de continuidade das atividades, cópias de segurança e planos de resposta e recuperação;
Registar e analisar incidentes, perdas e causas, incorporando as conclusões na melhoria dos controlos;
Definir planos de comunicação de crise dirigidos aos trabalhadores, clientes, autoridades e restantes partes interessadas.

As entidades abrangidas devem rever periodicamente o quadro, submetê-lo a auditoria interna e corrigir as deficiências identificadas. Determinadas entidades de menor dimensão ou com características específicas podem aplicar o quadro simplificado previsto no artigo 16.º e nas normas técnicas complementares.

Incidentes relacionados com as TIC

As entidades financeiras devem estabelecer um processo para detetar, gerir, registar, classificar e acompanhar incidentes relacionados com as TIC. Os incidentes são avaliados segundo critérios como o número de clientes e transações afetados, a duração, a extensão geográfica, a perda de dados, a criticidade dos serviços atingidos e o impacto económico.

Os incidentes classificados como de caráter severo devem ser comunicados à autoridade competente.

Nos termos das normas técnicas atualmente aplicáveis:

A notificação inicial deve ser apresentada o mais cedo possível, no prazo máximo de quatro horas após a classificação do incidente como sendo de caráter severo e, em regra, até 24 horas após a entidade ter tomado conhecimento do incidente. Se a classificação ocorrer depois dessas 24 horas, a notificação deve ser apresentada nas quatro horas seguintes à classificação;
O relatório intercalar deve ser apresentado no prazo máximo de 72 horas após a notificação inicial, ainda que o estado ou o tratamento do incidente não se tenham alterado. Deve ser atualizado sem demora injustificada e, em qualquer caso, quando as atividades regulares tiverem sido repostas;
O relatório final deve ser apresentado no prazo máximo de um mês após a apresentação do relatório intercalar ou, quando aplicável, após a apresentação do último relatório intercalar atualizado.

Quando uma entidade não possa cumprir um destes prazos, deve informar a autoridade competente sem demora injustificada e, o mais tardar, até ao termo do prazo aplicável, explicando as razões do atraso. Se o prazo terminar num fim de semana ou feriado, a entrega pode, em determinados casos, ser efetuada até ao meio-dia do dia útil seguinte.

Esta prorrogação não se aplica às notificações iniciais nem aos relatórios intercalares das instituições de crédito, contrapartes centrais, operadores de plataformas de negociação e demais entidades financeiras identificadas como essenciais ou importantes ao abrigo da NIS2.

A autoridade competente pode também afastá-la relativamente a outras entidades significativas ou de caráter sistémico.

As ciberameaças significativas podem ser notificadas voluntariamente. A entidade financeira pode confiar a comunicação a um terceiro prestador de serviços, mas continua plenamente responsável pelo cumprimento da obrigação.

Testes de resiliência operacional digital

As entidades financeiras que não sejam microempresas devem estabelecer, manter e rever um programa sólido e abrangente de testes destinado a identificar fraquezas, deficiências e lacunas nos seus sistemas e medidas de proteção. Os testes devem ser proporcionais ao risco e podem incluir avaliações de vulnerabilidades, análises de código, testes de desempenho, testes de compatibilidade, testes de cenários e testes de penetração.

Estas entidades devem assegurar, pelo menos uma vez por ano, a realização de testes adequados a todos os sistemas e aplicações de TIC que apoiem funções críticas ou importantes. As microempresas não estão sujeitas ao programa geral previsto no artigo 24.º, mas devem realizar os testes previstos no artigo 25.º segundo uma abordagem baseada no risco e um planeamento estratégico proporcional.

As entidades identificadas pelas autoridades competentes, com exclusão das microempresas e das entidades referidas no artigo 16.º, n.º 1, primeiro parágrafo, devem ainda realizar testes avançados de penetração baseados em ameaças, conhecidos como Threat-Led Penetration Testing ou TLPT, pelo menos de três em três anos. A autoridade competente pode reduzir ou aumentar esta frequência em função do perfil de risco e das circunstâncias operacionais.

Quando terceiros prestadores de serviços de TIC sejam incluídos no âmbito de um TLPT, a entidade financeira deve assegurar a sua participação e cooperação e continua plenamente responsável pelo cumprimento do DORA. Os testes devem proteger os dados, evitar riscos para os serviços críticos e permitir a correção das vulnerabilidades detetadas.

Gestão do risco decorrente de prestadores de serviços TIC

O recurso a serviços externos não transfere a responsabilidade da entidade financeira pelo cumprimento do DORA. As entidades devem gerir o risco associado aos prestadores tecnológicos como parte integrante do seu próprio quadro de risco.

Entre as principais obrigações encontram-se:

Adotar uma estratégia para o risco associado a terceiros prestadores de serviços de TIC;
Manter um registo de informação completo sobre todos os acordos contratuais relativos à utilização de serviços de TIC;
Identificar os serviços que apoiam funções críticas ou importantes;
Realizar avaliações de risco e diligência prévia antes da contratação;
Avaliar a concentração, a substituibilidade, a localização dos serviços e dos dados e as cadeias de subcontratação;
Acompanhar continuamente o desempenho, a segurança e o cumprimento contratual;
Definir estratégias de saída e planos de transição documentados e suficientemente testados.

Cláusulas contratuais essenciais

Os direitos e obrigações da entidade financeira e do prestador de serviços de TIC devem constar de contrato escrito, duradouro e acessível. O artigo 30.º exige, designadamente:

Descrição clara e completa das funções e serviços prestados e das condições de subcontratação;
Identificação dos países ou regiões onde os serviços são prestados e os dados tratados e armazenados, com notificação prévia de alterações;
Garantias de disponibilidade, autenticidade, integridade e confidencialidade dos dados;
Regras sobre acesso, recuperação e devolução dos dados em caso de insolvência, cessação do serviço ou término do contrato;
Níveis de serviço mensuráveis e respetivos mecanismos de atualização;
Assistência em incidentes relacionados com as TIC, sem custos adicionais ou com custos previamente determinados;
Cooperação plena com as autoridades competentes e de resolução;
Direitos de rescisão e períodos de pré-aviso adequados;
Condições de participação do prestador em ações de sensibilização e formação em segurança.

Quando os serviços apoiem funções críticas ou importantes, são exigidas garantias adicionais, incluindo níveis de serviço mais rigorosos, obrigações reforçadas de comunicação, planos de contingência, participação nos TLPT quando aplicável, direitos efetivos de acesso, inspeção e auditoria e assistência durante um período de transição.

Subcontratação de funções críticas ou importantes

A utilização de subcontratantes deve ser previamente avaliada. A entidade financeira necessita de conhecer os serviços subcontratados, os intervenientes relevantes, os locais de prestação e tratamento de dados e a forma como cadeias longas ou complexas podem afetar a supervisão, a continuidade e a capacidade de saída.

As normas técnicas complementares exigem procedimentos para avaliar alterações materiais à subcontratação. Os contratos devem prever informação atempada, possibilidade de objeção e, quando a alteração exceda a tolerância ao risco ou impeça uma supervisão eficaz, direitos de rescisão adequados.

Prestadores terceiros de serviços TIC críticos

A prestação de serviços a uma entidade financeira não transforma automaticamente o fornecedor num prestador terceiro crítico sujeito a supervisão europeia direta. Essa qualificação depende de designação pelas Autoridades Europeias de Supervisão, atendendo, nomeadamente, ao impacto sistémico de uma falha, à importância das entidades clientes, à dependência de funções críticas e à possibilidade de substituição do prestador.

Em 18 de novembro de 2025, as Autoridades Europeias de Supervisão publicaram a primeira lista de prestadores terceiros de serviços de TIC designados como críticos ao abrigo do DORA, concretizando pela primeira vez o mecanismo de designação previsto no artigo 31.º. A lista é atualizada anualmente.

Os prestadores designados como críticos ficam sujeitos a uma autoridade fiscalizadora principal europeia, que pode solicitar informação, realizar investigações e inspeções, formular recomendações e acompanhar a respetiva aplicação. As entidades financeiras só podem recorrer aos serviços de um prestador estabelecido num país terceiro que tenha sido designado como crítico se este estabelecer uma filial na União no prazo de 12 meses após a designação.

Em caso de incumprimento total ou parcial das medidas de fornecimento de informação, cooperação com investigações ou inspeções e apresentação dos relatórios exigidos, e após o decurso de pelo menos 30 dias desde a respetiva notificação, a autoridade fiscalizadora principal impõe uma sanção pecuniária compulsória diária até 1% do volume de negócios mundial médio diário do prestador no exercício anterior, até ao cumprimento e por um período máximo de seis meses.

Impacto para os prestadores de serviços TIC

Os prestadores de alojamento, computação em nuvem, software, serviços geridos, cibersegurança, processamento de dados, comunicações e outras soluções tecnológicas podem não ser entidades financeiras nem prestadores críticos. Ainda assim, o DORA afeta diretamente a relação contratual e operacional com os clientes do setor financeiro.

Estes clientes necessitam de obter dos seus fornecedores garantias, informação e direitos que lhes permitam cumprir o regulamento.

Na prática, os prestadores tecnológicos podem ter de:

Identificar os serviços, sistemas, localizações e subcontratantes utilizados na prestação;
Assumir níveis de serviço e objetivos de recuperação compatíveis com as funções apoiadas;
Comunicar incidentes e alterações relevantes em prazos suficientemente curtos;
Manter planos de continuidade, recuperação, cópias de segurança e gestão de vulnerabilidades;
Disponibilizar evidências de segurança, relatórios, certificações e resultados de testes;
Aceitar direitos proporcionais de acesso, auditoria, inspeção e cooperação com autoridades;
Controlar e comunicar a utilização de subcontratantes e alterações na cadeia de fornecimento;
Assegurar portabilidade, devolução e eliminação dos dados e apoiar estratégias de saída;
Cooperar na investigação de incidentes e nos testes de resiliência aplicáveis.

A extensão concreta destas exigências depende do serviço prestado, da sua importância para a função financeira apoiada, do risco identificado e do contrato celebrado. A condição de fornecedor de uma entidade financeira, por si só, não equivale a uma designação como prestador terceiro crítico.

Sanções

As sanções aplicáveis às entidades financeiras são concretizadas pela legislação nacional e pela legislação setorial correspondente. Em Portugal, o regime é estabelecido pela Lei n.º 73/2025 e explicado no artigo “Execução do DORA em Portugal — Lei n.º 73/2025, de 23 de dezembro (versão consolidada)”.

Aplicação em Portugal

A Lei n.º 73/2025, de 23 de dezembro, executa o DORA na ordem jurídica portuguesa e transpõe a Diretiva (UE) 2022/2556. A lei entrou em vigor em 28 de dezembro de 2025 e foi posteriormente objeto da Declaração de Retificação n.º 3/2026/1, de 21 de janeiro.

Em Portugal, o Banco de Portugal (BdP), a Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) e a Comissão do Mercado de Valores Mobiliários (CMVM) são as autoridades competentes relativamente às entidades sujeitas à respetiva supervisão.

A lei nacional define ainda poderes, procedimentos, contraordenações e sanções e altera diversos regimes do setor financeiro.

Calendário

27 de dezembro de 2022: publicação do Regulamento (UE) 2022/2554 no Jornal Oficial da União Europeia;
16 de janeiro de 2023: entrada em vigor do DORA;
17 de janeiro de 2025: início da aplicação do regulamento;
12 de março de 2025: entrada em vigor do Regulamento Delegado (UE) 2025/301 e do Regulamento de Execução (UE) 2025/302, relativos aos prazos, modelos e procedimentos de comunicação dos incidentes de caráter severo;
18 de novembro de 2025: publicação da primeira lista de prestadores terceiros de serviços TIC designados como críticos pelas Autoridades Europeias de Supervisão;
28 de dezembro de 2025: entrada em vigor da Lei n.º 73/2025 em Portugal;
21 de janeiro de 2026: publicação da declaração de retificação da lei portuguesa.

Medidas recomendadas

As entidades financeiras e os seus prestadores tecnológicos devem, de acordo com o papel concretamente desempenhado:

Confirmar a aplicabilidade do DORA e o regime de proporcionalidade correspondente;
Inventariar funções, sistemas, dados, ativos, fornecedores e dependências tecnológicas;
Classificar as funções críticas ou importantes e os serviços TIC que as suportam;
Rever o quadro de gestão do risco associado às TIC e as responsabilidades do órgão de administração;
Atualizar os procedimentos de deteção, classificação, escalamento e comunicação de incidentes;
Preparar e testar os planos de continuidade, resposta, recuperação e comunicação de crise;
Definir e executar um programa de testes de resiliência proporcional ao risco;
Completar o registo de informação sobre os acordos com prestadores de serviços de TIC;
Rever contratos, níveis de serviço, direitos de auditoria, subcontratação e localização dos dados;
Avaliar riscos de concentração e preparar estratégias de saída e planos de transição;
Recolher e conservar evidências do cumprimento, dos testes, dos incidentes e das medidas corretivas;
Acompanhar as normas técnicas, orientações das autoridades europeias e instruções das autoridades nacionais competentes.