O regulamento europeu sobre a resiliência operacional digital do setor financeiro (DORA) impõe às entidades financeiras - e por repercussão aos seus prestadores TIC - um registo exaustivo dos contratos, cláusulas contratuais precisas e provas de auditoria datadas. A SYAGA DORA-Express ajuda-o a responder a estas exigências sem improvisar, quer seja entidade financeira ou prestador.
O DORA é um regulamento, não uma diretiva: aplica-se diretamente em todos os Estados- Membros, sem necessidade de uma lei de transposição nacional.
Regulamento (UE) 2022/2554 de 14 de dezembro de 2022, publicado no JOUE em 27 de dezembro de 2022, entrado em vigor em 16 de janeiro de 2023 e aplicável desde 17 de janeiro de 2025. Nenhuma transposição nacional exigida: é diretamente oponível.
Cada entidade financeira deve manter atualizado e transmitir anualmente às autoridades um registo completo dos seus contratos TIC: prestador, natureza do serviço, criticidade da função, país de alojamento dos dados.
Direitos de auditoria e de inspeção, garantias de disponibilidade e de integridade dos dados, planos de saída testados, notificação de incidentes sem demora. Estas cláusulas transmitem-se do seu cliente financeiro para si, se for o seu prestador TIC.
Antes de assinar ou renovar um contrato, um banco, uma seguradora ou um investidor envia um questionário cibernético (governação, MFA, EDR, encriptação, sensibilização). Responder-lhe sem prova documentada faz perder o contrato.
Em 18-19 de novembro de 2025, as autoridades europeias de supervisão (EBA, ESMA, EIOPA) publicaram a primeira lista oficial dos prestadores TIC críticos ao abrigo do artigo 32 do DORA. Entre os nomes confirmados pelos comunicados oficiais: AWS EMEA Sarl, Microsoft Ireland Operations Limited, Google Cloud, Orange SA, Capgemini SE (e mais 14 prestadores não confirmados nominalmente nas nossas fontes).
Consequência concreta: se os seus serviços críticos assentarem num destes prestadores, a sua entidade financeira cliente deve agora documentá-lo no seu registo TIC - e pode interrogá-lo sobre a sua própria cadeia de subcontratação.
Fonte: comunicados oficiais EIOPA e ESMA de 18-19 de novembro de 2025 (eiopa.europa.eu, esma.europa.eu).
Um acompanhamento estruturado em 5 etapas para documentar a sua conformidade - sem prometer o que nem uma ferramenta, nem uma consultora, podem certificar no seu lugar.
É uma entidade financeira diretamente sujeita (uma das 21 categorias do artigo 2), ou um prestador TIC visado indiretamente através das cláusulas contratuais dos seus clientes financeiros (artigo 30)? O âmbito exato condiciona todo o resto.
Respondemos ao seu questionário de due diligence de banco, investidor ou seguradora (governação, MFA, EDR, encriptação, sensibilização...) apoiando-nos numa auditoria técnica do seu tenant Microsoft 365 como prova datada e verificável.
Ajudamo-lo a estruturar o seu registo de contratos TIC (art. 28 §3) e a verificar ou integrar as cláusulas contratuais mínimas e reforçadas do artigo 30 nos seus contratos de prestadores.
O nosso PRA/PCA Suite propõe um perfil setorial Finanças (DORA, PSD2, ACPR) que cobre as exigências de testes de resiliência operacional do capítulo IV do DORA, alinhado com a ISO 22301.
Entrega à sua direção, ao seu CISO ou ao seu diretor financeiro de um dossiê consolidado, com os pontos precisos a fazer decidir pelo seu advogado antes de qualquer comunicação às autoridades.
Entregáveis concretos, sourceados, sem promessa de certificação que ninguém pode garantir
10 perguntas tipo due diligence banco / M&A, documentadas e sourceadas (ILPA DDQ, CSA CAIQ, questionários de seguradoras cibernéticas).
Síntese sourceada do regulamento (UE) 2022/2554.
Estrutura do registo exaustivo exigido pelas autoridades.
A integrar ou verificar nos seus contratos de prestadores TIC.
Plano de continuidade e recuperação de atividade, perfil setorial dedicado.
Formatos PDF e DOCX, consolidando o conjunto dos entregáveis.
Excerto das 10 perguntas que documentamos por si, com a fonte de cada pergunta
| Tema | Pergunta | Fonte |
|---|---|---|
| Governação | A sua política de segurança apoia-se num referencial reconhecido (NIST, ISO 27001)? | ILPA DDQ 2.0 |
| Auditoria de terceiros | Realiza uma auditoria anual independente e testes de intrusão? | CSA CAIQ v4 |
| Plano de incidentes | Existe um plano formal de resposta a incidentes, documentado e mantido? | CSA CAIQ v4 / ILPA DDQ 2.0 |
| MFA | Para que serviços impõe a autenticação multifator? | Travelers - MFA Supplement |
| Contas privilegiadas | Os acessos seguem o princípio do menor privilégio, revistos periodicamente? | CSA CAIQ v4 IAM |
| Correio eletrónico | Que licença M365 utiliza? Defender / threat hunting avançado ativo? | vCSO.ai Cyber DD Checklist |
| Encriptação | Os discos dos terminais estão totalmente encriptados? | Google VSAQ |
| Formação | Está estabelecido um programa de sensibilização para a segurança de todos os colaboradores? | CSA CAIQ v4 HRS |
Cada entregável indica explicitamente o que cobre - e o que não cobre
Registo TIC (art. 28), cláusulas contratuais (art. 30), prazos de notificação (art. 19), referência aos prestadores TIC críticos designados (art. 32).
O DORA é uma lex specialis face à NIS2 para o setor financeiro: as entidades abrangidas aplicam o DORA em vez das medidas NIS2 equivalentes.
O perfil PRA/PCA Finanças alinha-se com a ISO 22301, referencial de gestão da continuidade de negócio utilizado em complemento do DORA.
A notificação de incidentes DORA (junto do regulador financeiro) é distinta da notificação RGPD (autoridade de proteção de dados) em caso de violação de dados pessoais: ambas podem ser exigidas simultaneamente.
Cada dossiê DORA é diferente consoante o seu estatuto - orçamento personalizado em todos os casos
Fornece serviços a uma ou várias entidades financeiras
Está diretamente sujeito ao DORA (uma das 21 categorias, art. 2)
Atualização regular do dossiê (obrigações, contratos, registo)
O DORA explicado de forma simples, sem jargão jurídico. Cada ponto abaixo remete para o texto oficial que o confirma.
O DORA aplica-se aos operadores financeiros europeus: bancos, seguradoras, sociedades de investimento, plataformas de mercado, gestores de fundos, prestadores de pagamento... bem como aos seus prestadores informáticos. As estruturas muito pequenas beneficiam de regras aligeiradas.
O regulamento cobre 6 grandes temas: a gestão do risco informático, a supervisão dos seus prestadores externos, testes regulares de resistência, a comunicação de incidentes graves, a partilha de informações sobre ameaças, e a supervisão dos maiores prestadores informáticos.
Texto adotado em 14 de dezembro de 2022, publicado no Jornal Oficial da UE em 27 de dezembro de 2022 (JO L 333). Entrada em vigor em 16 de janeiro de 2023. As obrigações são efetivamente devidas desde 17 de janeiro de 2025.
Os maiores prestadores informáticos (cloud, alojamento...) considerados «críticos» para o setor financeiro são agora controlados diretamente a nível europeu, com um supervisor líder que lhes pode impor medidas.
Antes do DORA, cada país da UE tinha as suas próprias regras para comunicar um incidente informático grave. Agora, aplica-se um procedimento europeu único: os incidentes maiores são notificados diretamente às autoridades competentes.
O texto prevê que as autoridades publiquem as sanções administrativas que aplicam. Os montantes precisos das coimas não estão estabilizados nas fontes consultadas até à data - a confirmar à medida das precisões oficiais.
Ouve falar do DORA sem saber se se aplica à sua empresa? Eis, explicado de forma simples, o âmbito oficial do regulamento, compreendido em 2 minutos, com os textos que o comprovam.
O regulamento europeu 2022/2554 (Artigo 2.º) visa 21 categorias diferentes de empresas financeiras, das quais 12 são supervisionadas pela ESMA. Não é um assunto reservado aos grandes bancos: desde 17 de janeiro de 2025, a quase totalidade do setor financeiro europeu está abrangida, com graus de exigência diferentes consoante a dimensão da estrutura. fonte oficial (ESMA) ↗
Instituições de crédito (bancos), instituições de pagamento, instituições de moeda eletrónica, prestadores de serviços de informação sobre contas.
Empresas de investimento, plataformas de negociação, depositários centrais de valores mobiliários, contrapartes centrais, repositórios centrais, agências de notação, gestores de fundos alternativos, sociedades gestoras.
Empresas de seguros e de resseguros, intermediários de seguros (exceto micro-empresas), instituições de realização de planos de pensões profissionais com mais de 15 membros.
Prestadores de serviços de criptoativos, plataformas de financiamento colaborativo, repositórios de titularização: as finanças digitais entram também no âmbito.
Os prestadores de TIC (cloud, alojamento, software crítico) que fazem funcionar estas empresas entram também no radar. Os mais «críticos» para todo o setor são supervisionados diretamente a nível europeu.
O DORA aplica um princípio de proporcionalidade: quanto mais pequena for a estrutura, menos pesadas são as suas obrigações. Algumas estruturas estão mesmo explicitamente fora do âmbito.
Uma micro-empresa define-se oficialmente como uma estrutura com menos de 10 trabalhadores cujo volume de negócios ou balanço anual não excede 2 milhões de euros. Estas estruturas financeiras muito pequenas escapam às obrigações de governação mais pesadas do regulamento.
fonte oficial (EUR-Lex, definição UE) ↗ · fonte EUR-Lex (regulamento DORA) ↗
As pequenas empresas de investimento «não interligadas» e as pequenas instituições de realização de planos de pensões profissionais beneficiam de um quadro simplificado de gestão do risco informático, detalhado por um regulamento delegado da Comissão Europeia.
Uma instituição de realização de planos de pensões profissionais cujos regimes geridos contem, no total, 15 membros ou menos não entra no âmbito do regulamento.
Também estão fora do âmbito: os organismos de transferências postais abrangidos pela diretiva relativa às instituições de crédito, certos gestores de fundos ou seguradoras que beneficiam de isenções setoriais, bem como os mediadores de seguros que sejam eles próprios micro-empresas ou PME.
Em resumo: se a sua empresa é uma entidade financeira europeia, ou se é um dos seus prestadores informáticos, a pergunta já não é «estou em causa» mas sim «a que nível de exigência». O texto precisa que cada estrutura deve adaptar os seus meios informáticos à sua dimensão, ao seu perfil de risco e à complexidade das suas atividades. fonte EUR-Lex (considerando 36) ↗
O DORA não é «uma» data, são várias etapas encadeadas desde finais de 2022. Eis, por ordem, o que já aconteceu e o que ainda está em curso - com, para cada etapa, o texto oficial que o comprova.
O Parlamento Europeu e o Conselho adotam o regulamento (UE) 2022/2554. fonte EUR-Lex ↗
O texto é publicado no Jornal Oficial da União Europeia (JO L 333). fonte EUR-Lex ↗
O regulamento existe juridicamente, mas a sua aplicação efetiva às empresas ainda é diferida por dois anos - o tempo de preparar as normas técnicas e os registos. fonte ESMA ↗
As três autoridades europeias de supervisão financeira (banca, seguros, mercados) organizam duas audições públicas para finalizar as regras práticas de aplicação. fonte ESMA ↗
Primeira série de regras precisas sobre a gestão do risco informático (como cartografar, proteger, detetar, reagir), adotada pela Comissão em 13 de março de 2024. fonte EUR-Lex (2024/1774) ↗
Segunda série de regras de aplicação (nomeadamente sobre a subcontratação informática e a supervisão dos prestadores). fonte ESMA ↗
A Comissão publica o modelo técnico (formulários) que cada empresa em causa deve utilizar para manter atualizado o inventário dos seus prestadores informáticos. Entrada em vigor em 22 de dezembro de 2024. fonte EUR-Lex (2024/2956) ↗
A partir desta data, todas as entidades financeiras em causa (e os seus prestadores informáticos estratégicos) devem estar em conformidade real, não apenas «no papel». fonte ESMA ↗ · fonte EIOPA ↗
As autoridades nacionais de supervisão deviam transmitir às autoridades europeias os primeiros registos de informação recebidos das empresas abrangidas. fonte ESMA ↗
As autoridades europeias constroem, etapa por etapa, a lista dos prestadores informáticos (cloud, alojamento...) considerados tão importantes para todo o setor financeiro que serão supervisionados diretamente a nível europeu. O processo (recolha de informações, decisões, relatório de progresso) estendeu-se de novembro de 2024 a maio de 2025; a data exata da primeira designação oficial não está estabilizada nas fontes consultadas até à data - a confirmar à medida das publicações. fonte ESMA ↗
As autoridades europeias continuam a publicar relatórios de progresso (retornos de experiência sobre os incidentes graves, ajustamentos das regras de subcontratação). O DORA é um projeto vivo, não um texto fixo. fonte ESMA ↗
Calendário estabelecido a partir de fontes oficiais (EUR-Lex, ESMA, EIOPA) consultadas em 17 de julho de 2026. Algumas datas (designação definitiva dos prestadores críticos, montantes das sanções) continuam em fase de estabilização pelas autoridades - atualizá-las-emos assim que forem publicadas.
7 questões mais técnicas, digeridas de forma simples: cada uma sustentada no texto oficial que a confirma.
fonte EUR-Lex (considerandos 43, 56, 61) ↗ · fonte ESMA (regulamento delegado (UE) 2025/1190) ↗
fonte EUR-Lex (considerando 65) ↗ · fonte ESMA (regulamento de execução (UE) 2024/2956) ↗
«O DORA prevê coimas» surge frequentemente em discursos comerciais. O que o texto oficial diz realmente, preto no branco: dois regimes distintos, com um único valor europeu harmonizado - e sem um barema único para todos.
O DORA não fixa nenhum montante nem percentagem de volume de negócios. O texto remete explicitamente para cada Estado-Membro a definição das suas próprias regras de sanção (artigo 50.º, n.º 3: «Member States shall lay down rules establishing appropriate administrative penalties... »). Em França, são as autoridades habituais - ACPR para a banca/seguros, AMF para os mercados - que aplicam o seu próprio barema nacional, e não um barema DORA único e europeu.
O que o regulamento impõe, em contrapartida: tipos de medidas que cada país deve prever no mínimo (lista abaixo) - cabendo ao direito nacional fixar os montantes exatos.
Aqui, o DORA fixa um valor preciso e harmonizado para toda a Europa: uma sanção pecuniária compulsória que pode ir até 1% do volume de negócios diário médio mundial, por dia de atraso, durante 6 meses no máximo (artigo 35.º, n.os 7-8). Esta não é uma sanção imediata: só pode ser desencadeada após pelo menos 30 dias de calendário de não conformidade constatada pela autoridade.
Esta sanção pecuniária compulsória diz respeito apenas aos grandes prestadores oficialmente designados «críticos» pela UE - e não às empresas clientes que os utilizam.
É a sanção pecuniária compulsória que pode ser imposta pelo «Lead Overseer» - uma das três autoridades europeias de supervisão financeira (EBA, ESMA ou EIOPA, designada consoante o prestador) - a um prestador informático crítico que se recuse a cumprir a conformidade após um prazo de pelo menos 30 dias. O dinheiro é entregue ao orçamento geral da União Europeia, e cada sanção pecuniária compulsória imposta deve, em princípio, ser tornada pública pelo Lead Overseer.
Fonte: Regulamento (UE) 2022/2554, artigo 35.º, n.os 6 a 10 - texto oficial EUR-Lex ↗
Cinco tipos de medidas que cada Estado-Membro deve prever no mínimo no seu direito nacional - artigo 50.º, n.º 4, do DORA.
Obrigar a empresa a interromper imediatamente a prática não conforme e a não a repetir.
Proibir uma prática ou um comportamento considerado contrário ao regulamento, de forma temporária ou permanente.
Qualquer medida, incluindo financeira, para repor a empresa em conformidade - montante fixado pelo direito nacional de cada país.
Exigir de um operador de telecomunicações registos existentes, em caso de suspeita razoável de violação.
Tornar público um aviso indicando a identidade da empresa e a natureza do incumprimento («name and shame»).
Para calibrar o nível exato da sanção, o artigo 51.º, n.º 2, do DORA pede à autoridade que tenha em conta, nomeadamente: a gravidade e a duração do incumprimento, o grau de responsabilidade, a solidez financeira da empresa, os lucros obtidos ou perdas evitadas, os danos causados a terceiros, o nível de cooperação e os antecedentes.
Análise baseada na leitura integral dos artigos 35.º e 50.º a 53.º do regulamento (UE) 2022/2554, texto oficial publicado no Jornal Oficial da UE (L 333, 27/12/2022), consultado no EUR-Lex em 17 de julho de 2026. Não existe nenhum montante quantificado de sanção no texto para as entidades financeiras (remissão para o direito nacional de cada Estado-Membro) - não o inventamos, portanto. Não está registada publicamente, até à data, nenhuma sanção pecuniária compulsória ao abrigo do artigo 35.º nas nossas fontes; o DORA só é plenamente aplicável desde 17 de janeiro de 2025.
Contacte-nos para receber um orçamento personalizado consoante o seu estatuto (entidade financeira ou prestador TIC).
Gratuito: o seu score + os seus desvios. O relatório detalhado e a certificação: 499 € + IVA, apenas se assim o decidir.
contact@syaga.eu