(Atualizado em 23 de agosto de 2026.)
Foi publicada, em 23 de dezembro de 2025, a Lei n.º 73/2025, de 23 de dezembro, que executa na ordem jurídica portuguesa o Regulamento (UE) 2022/2554, conhecido como Digital Operational Resilience Act ou DORA, e transpõe a Diretiva (UE) 2022/2556.
A lei foi publicada no Diário da República n.º 246/2025, Série I, e entrou em vigor em 28 de dezembro de 2025.
O diploma não estabelece expressamente uma data de entrada em vigor. Aplica-se, por isso, a regra prevista no artigo 2.º, n.º 2, da Lei n.º 74/98, de 11 de novembro, segundo a qual os diplomas entram em vigor no quinto dia após a publicação quando não seja fixada outra data.
O presente artigo considera a versão consolidada da Lei n.º 73/2025, atualizada em 21 de janeiro de 2026. Até 23 de agosto de 2026, essa consolidação incorpora apenas a Declaração de Retificação n.º 3/2026/1, não sendo identificada no Diário da República qualquer lei posterior que tenha alterado a Lei n.º 73/2025.
A Lei n.º 73/2025 não substitui nem reproduz o Regulamento (UE) 2022/2554, conhecido como DORA. O regulamento é diretamente aplicável nos Estados-Membros desde 17 de janeiro de 2025 e contém as principais obrigações relativas à gestão do risco associado às tecnologias da informação e comunicação (TIC), comunicação de incidentes, testes de resiliência operacional digital e gestão do risco decorrente de terceiros prestadores de serviços de TIC.
A lei portuguesa complementa esse regime, designando as autoridades competentes, regulando a cooperação institucional, estabelecendo o regime nacional de contraordenações e coimas e adaptando a legislação financeira portuguesa.
Simultaneamente, transpõe a Diretiva (UE) 2022/2556, que alterou várias diretivas europeias do setor financeiro para as alinhar com o DORA. A diretiva deveria ter sido transposta e aplicada pelos Estados-Membros desde 17 de janeiro de 2025. A publicação posterior da lei portuguesa não adiou nem suspendeu a aplicação direta do DORA.
As obrigações materiais do regulamento são explicadas no artigo Regulamento relativo à resiliência operacional digital do setor financeiro — Regulamento (UE) 2022/2554 (DORA).
A lei deve ser lida em conjunto com o âmbito de aplicação definido no artigo 2.º do DORA. Abrange, nos termos aplicáveis a cada setor, as entidades financeiras sujeitas à supervisão portuguesa, incluindo instituições de crédito e de pagamento, empresas de investimento, entidades dos mercados de valores mobiliários, prestadores de serviços de criptoativos, empresas de seguros e de resseguros, entidades gestoras de fundos de pensões, sociedades gestoras e outras entidades financeiras previstas no regulamento.
O artigo 2.º da lei clarifica expressamente a aplicação do regime às empresas de seguros e de resseguros com sede em Portugal e às entidades gestoras de fundos de pensões autorizadas em Portugal, de acordo com os respetivos regimes setoriais.
A lei utiliza ainda a opção prevista no DORA para excluir determinadas caixas económicas existentes em 1 de janeiro de 1986. A exclusão não abrange as caixas económicas que revistam a forma de sociedade anónima, incluindo a Caixa Económica Montepio Geral.
Um terceiro prestador de serviços de TIC não se transforma, apenas por prestar serviços a uma entidade financeira, numa entidade financeira abrangida por todas as obrigações do DORA. No entanto, os contratos, os mecanismos de controlo, os direitos de acesso e auditoria e a cooperação exigidos pelas entidades financeiras podem impor-lhe deveres contratuais e operacionais relevantes.
A Lei n.º 73/2025 designa como autoridades competentes, relativamente às entidades sujeitas à supervisão de cada uma:
O Banco de Portugal;
A Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF);
A Comissão do Mercado de Valores Mobiliários (CMVM).
Quando uma entidade financeira esteja sujeita à supervisão de mais do que uma destas autoridades, compete à autoridade responsável pela supervisão prudencial receber as comunicações de incidentes de caráter severo relacionados com as TIC e exercer as funções previstas nos artigos 19.º e 22.º, n.º 1, do DORA.
O Banco de Portugal assume ainda funções específicas como autoridade única para a receção destas comunicações quando instituições de crédito exerçam atividades de distribuição de seguros ou quando instituições de crédito e instituições de pagamento prestem serviços de financiamento colaborativo.
A lei determina a cooperação e a troca de informações entre o Banco de Portugal, a ASF e a CMVM, bem como a colaboração destas autoridades com o Centro Nacional de Cibersegurança sempre que seja necessária ao exercício das respetivas competências.
A Lei n.º 73/2025 não altera os critérios nem os prazos europeus de comunicação de incidentes de caráter severo relacionados com as TIC. As comunicações continuam a obedecer ao DORA e às normas técnicas europeias aplicáveis, devendo ser apresentadas à autoridade portuguesa competente através dos canais e procedimentos por esta definidos.
Quando uma entidade financeira apresente voluntariamente uma notificação de ciberameaça significativa ao abrigo do artigo 19.º, n.º 2, do DORA, deve transmiti-la também às equipas nacionais de resposta a incidentes de segurança informática (CSIRT), utilizando os modelos europeus aplicáveis.
As autoridades portuguesas podem regulamentar, entre outras matérias:
Os canais e processos para a comunicação de incidentes e de ciberameaças significativas;
A comunicação do registo de informações relativo aos acordos com terceiros prestadores de serviços de TIC;
A informação sobre acordos planeados que apoiem funções críticas ou importantes;
A comunicação do relatório de revisão do quadro de gestão do risco associado às TIC;
A estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo;
Os testes avançados de penetração baseados em ameaças (TLPT);
A notificação da participação em acordos de partilha de informações sobre ciberataques.
A lei estabelece um regime sancionatório abrangente. Constituem contraordenação, designadamente, a prestação de informação incompleta, falsa, desatualizada ou omissa, a falta de colaboração com as autoridades e a violação dos deveres relativos à governação, gestão do risco associado às TIC, segurança, continuidade, resposta e recuperação, incidentes, terceiros prestadores e testes de resiliência.
A cláusula residual do artigo 10.º, n.º 2, permite ainda sancionar a violação de outros deveres estabelecidos no DORA ou na legislação e regulamentação europeia ou nacional aplicável à resiliência operacional digital.
A tentativa e a negligência são puníveis. Em caso de negligência, o limite máximo da coima é reduzido a metade; em caso de tentativa, a sanção correspondente à infração consumada é especialmente atenuada.
Para instituições de crédito e de pagamento, empresas de investimento, entidades dos mercados de valores mobiliários, sociedades gestoras, empresas de seguros e de resseguros, prestadores de serviços de criptoativos, administradores de índices de referência críticos e outras entidades enumeradas no artigo 11.º, n.º 1, alínea a):
De 10 000 euros a 5 000 000 de euros, quando o agente seja uma pessoa coletiva ou entidade equiparada;
De 5 000 euros a 2 500 000 euros, quando o agente seja uma pessoa singular.
Para mediadores de seguros, de resseguros ou de seguros a título acessório, quando a infração não seja praticada no âmbito de uma das atividades anteriores:
De 3 000 euros a 2 500 000 euros, para pessoas coletivas ou entidades equiparadas;
De 1 000 euros a 500 000 euros, para pessoas singulares.
Para prestadores de serviços de financiamento colaborativo, quando a contraordenação seja praticada no âmbito dessa atividade e não no âmbito das atividades referidas na alínea a) do n.º 1 do artigo 11.º:
De 2 500 euros a 500 000 euros, para pessoas coletivas ou entidades equiparadas;
De 400 euros a 500 000 euros, para pessoas singulares.
Sem prejuízo dos intervalos anteriores, o limite máximo da coima é elevado ao maior dos seguintes valores: o triplo do benefício económico obtido, ainda que total ou parcialmente sob a forma de perdas evitadas; ou, no caso das contraordenações previstas na alínea a) do n.º 1 do artigo 11.º e praticadas por pessoas coletivas, 10 % do volume de negócios, de acordo com as últimas contas consolidadas ou individuais aprovadas pelo órgão de administração.
As decisões definitivas ou transitadas em julgado relativas a contraordenações graves ou muito graves abrangidas pela lei são divulgadas no sítio da autoridade competente durante cinco anos. A lei determina que essas informações não sejam indexadas por motores de pesquisa.
Para transpor a Diretiva (UE) 2022/2556 e alinhar o direito nacional com o DORA, a lei altera oito regimes:
O Regime Geral das Instituições de Crédito e Sociedades Financeiras, aprovado pelo Decreto-Lei n.º 298/92, de 31 de dezembro;
O Código dos Valores Mobiliários, aprovado pelo Decreto-Lei n.º 486/99, de 13 de novembro;
O regime jurídico das entidades gestoras de mercados, sistemas de negociação, compensação, liquidação e sistemas centralizados de valores mobiliários, aprovado pelo Decreto-Lei n.º 357-C/2007, de 31 de outubro, e republicado pelo Decreto-Lei n.º 109-H/2021, de 10 de dezembro;
O regime jurídico da atividade seguradora e resseguradora, aprovado pela Lei n.º 147/2015, de 9 de setembro;
O Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, aprovado pelo Decreto-Lei n.º 91/2018, de 12 de novembro;
O regime jurídico dos fundos de pensões e das respetivas entidades gestoras, aprovado pela Lei n.º 27/2020, de 23 de julho;
O Regime das Empresas de Investimento, aprovado pelo Decreto-Lei n.º 109-H/2021, de 10 de dezembro;
O Regime da Gestão de Ativos, aprovado pelo Decreto-Lei n.º 27/2023, de 28 de abril, anteriormente alterado pelo Decreto-Lei n.º 89/2024, de 18 de novembro, e pelo Decreto-Lei n.º 103/2025, de 11 de setembro.
As alterações integram a resiliência operacional digital nos requisitos de autorização, governação, continuidade de negócio, supervisão, recuperação e resolução aplicáveis aos diferentes subsetores financeiros.
A Declaração de Retificação n.º 3/2026/1, publicada em 21 de janeiro de 2026, corrigiu a numeração de duas alíneas do artigo 138.º-AH, n.º 1, do Regime Geral das Instituições de Crédito e Sociedades Financeiras, constante do artigo 14.º da Lei n.º 73/2025.
A identificação dos proprietários dos sistemas, dos acordos de nível de serviço e dos terceiros prestadores de serviços de TIC críticos passou a constar da alínea r), e a referência aos resultados dos testes de resiliência operacional digital passou para a alínea v). A retificação corrige a localização sistemática destas disposições, sem alterar o respetivo conteúdo material.
As entidades financeiras abrangidas devem articular o cumprimento direto do DORA com os mecanismos nacionais de supervisão e de execução introduzidos pela Lei n.º 73/2025.
Entre as medidas prioritárias incluem-se:
Identificar a autoridade portuguesa competente e os canais de comunicação aplicáveis;
Documentar a governação, as responsabilidades e o quadro de gestão do risco associado às TIC;
Manter atualizado o registo de todos os acordos contratuais relativos à utilização de serviços de TIC;
Preparar procedimentos internos para classificar e comunicar incidentes dentro dos prazos europeus;
Rever contratos com terceiros prestadores de serviços de TIC e assegurar os direitos de acesso, auditoria, cooperação e saída exigidos;
Conservar evidências do cumprimento, dos testes realizados e das medidas corretivas adotadas;
Acompanhar a regulamentação e as instruções emitidas pelo Banco de Portugal, pela ASF ou pela CMVM.
Os fornecedores de serviços de TIC a entidades financeiras devem estar preparados para responder às exigências contratuais, documentais e de auditoria dos seus clientes. A responsabilidade pelo cumprimento do DORA permanece, contudo, na entidade financeira, mesmo quando esta recorre a terceiros.
27 de dezembro de 2022: publicação do DORA e da Diretiva (UE) 2022/2556 no Jornal Oficial da União Europeia;
16 de janeiro de 2023: entrada em vigor do DORA e da Diretiva (UE) 2022/2556;
17 de janeiro de 2025: início da aplicação geral do DORA e data-limite de transposição da Diretiva (UE) 2022/2556;
23 de dezembro de 2025: publicação da Lei n.º 73/2025;
28 de dezembro de 2025: entrada em vigor da Lei n.º 73/2025;
21 de janeiro de 2026: publicação da Declaração de Retificação n.º 3/2026/1.
Lei n.º 73/2025, de 23 de dezembro — Diário da República
Lei n.º 73/2025 — versão consolidada após a Declaração de Retificação n.º 3/2026/1
Declaração de Retificação n.º 3/2026/1, de 21 de janeiro
