O Regulamento sobre a Resiliência Operacional Digital (DORA), Regulamento (UE) 2022/2554, é um regulamento da UE que entrou em vigor a 16 de janeiro de 2023 e passou a ser plenamente aplicável a 17 de janeiro de 2025. Estabelece um quadro juridicamente vinculativo para a gestão do risco de TIC, a comunicação de incidentes, os testes de resiliência e a supervisão de terceiros em todo o setor financeiro da UE.
O DORA foi introduzido para harmonizar as normas de risco de TIC em todos os Estados-Membros da UE, de modo que a resiliência operacional digital das entidades financeiras, e dos prestadores de serviços de TIC de que dependem, cumpra uma norma única e consistente.
A quem se aplica o DORA: O DORA aplica-se diretamente a cerca de 20 tipos de entidades financeiras da UE, incluindo bancos, instituições de pagamento e de moeda eletrónica, empresas de investimento, gestores de ativos, seguradoras e intermediários de seguros. Estas entidades têm também de gerir os riscos decorrentes dos prestadores terceiros de serviços de TIC de que dependem. Um pequeno número de prestadores de serviços de TIC designados como „críticos“ pelas Autoridades Europeias de Supervisão está igualmente sujeito a supervisão direta ao abrigo do DORA.
Os cinco pilares do DORA
1. Gestão do risco de TIC
As entidades financeiras têm de manter um quadro abrangente de gestão do risco de TIC que cubra a identificação, a proteção, a deteção, a resposta e a recuperação. As entidades financeiras têm de avaliar se os seus prestadores de serviços de TIC aplicam normas adequadas de segurança da informação.
2. Gestão e comunicação de incidentes relacionados com TIC
Os incidentes graves relacionados com TIC têm de ser classificados, geridos e comunicados às autoridades reguladoras de forma normalizada. Espera-se que os prestadores de serviços apoiem os seus clientes financeiros no cumprimento dos prazos de comunicação obrigatórios.
3. Testes de resiliência operacional digital
Os sistemas de TIC têm de ser testados regularmente, desde avaliações de vulnerabilidades até testes de intrusão avançados baseados em ameaças (TLPT) para entidades significativas. Os prestadores que apoiam funções críticas podem ser convidados a participar em testes conduzidos pelo cliente.
4. Gestão do risco de terceiros de TIC
As entidades financeiras têm de gerir ativamente a sua cadeia de abastecimento de TIC, incluindo requisitos contratuais, estratégias de saída e supervisão contínua dos seus prestadores de tecnologia. Espera-se que os prestadores sejam transparentes e auditáveis.
5. Partilha de informações e de informações sobre ameaças
As entidades financeiras e os seus prestadores de serviços de confiança são incentivados a partilhar voluntariamente informações sobre ciberameaças, para reforçar a resiliência em todo o ecossistema.
Como o DORA se aplica a Alohi
Alohi SA não é uma entidade financeira e não foi designada como prestador terceiro crítico de serviços de TIC no âmbito do quadro de supervisão do DORA, pelo que o DORA não se aplica diretamente a Alohi. No entanto, muitos dos nossos clientes são bancos, seguradoras e empresas de serviços financeiros abrangidos pelo âmbito do DORA, e utilizam Sign.Plus e Fax.Plus nos seus fluxos de trabalho diários.
Para estes clientes, Alohi atua como prestador terceiro de serviços de TIC. Ao abrigo do DORA, os nossos clientes do setor financeiro têm de assegurar que os seus prestadores de serviços de TIC mantêm resiliência, governação e transparência adequadas. Alohi apoia este processo fornecendo as informações e a documentação de que os nossos clientes necessitam para a sua diligência devida e para os seus requisitos contratuais.
Pedir documentação para a diligência devida
Se a sua organização está sujeita ao DORA e precisa de informações sobre Alohi no âmbito da avaliação de fornecedores, contacte a nossa equipa de apoio e inclua:
- O nome da sua organização e o endereço de email da conta
- O(s) produto(s) que utiliza (Sign.Plus, Fax.Plus)
- A documentação ou o questionário que precisa de ver preenchido
Pode também encontrar uma visão geral das nossas práticas de segurança e conformidade em Alohi Trust Center.
Este artigo destina-se apenas a informação geral e não constitui aconselhamento jurídico. Consulte os seus próprios consultores jurídicos ou de conformidade sobre as suas obrigações ao abrigo do DORA.