O DORA aplica-se a um vasto leque de 20 tipos de entidades financeiras, incluindo bancos, empresas de seguros e resseguros, instituições de realização de planos de pensões profissionais, mediadores de seguros e de resseguros, empresas de investimento, plataformas de negociação, prestadores de serviços de crowdfunding, entidades de pagamento e instituições de moeda eletrónica. A supervisão será adaptada ao perfil de risco, dimensão, escala e complexidade das atividades desenvolvidas por estas entidades.

Entre as principais obrigações, destaca-se a classificação e reporte obrigatório de incidentes graves relacionados com TIC a partir de 17 de janeiro de 2025.

As entidades financeiras também deverão disponibilizar às autoridades competentes, no início de 2025, os registos dos contratos com terceiros prestadores de serviços de TIC.

As autoridades nacionais terão até 30 de abril de 2025 para reportar essa informação às Autoridades Europeias de Supervisão (EBA, EIOPA e ESMA).

O DORA estrutura-se em seis áreas fundamentais:

• a gestão de riscos de TIC: princípios e requisitos do quadro de gestão de riscos TIC;
• a gestão de riscos TIC de terceiros: monitorização de riscos de terceiros prestadores e disposições contratuais específicas;
• incidentes de TIC: requisitos gerais e reporte de incidentes graves relacionados com TIC às autoridades competentes;
• testes de resiliência, básicos e avançados todas as instituições pelo menos a cada três anos;
• partilha de informações: troca de informação sobre ciberameaças; e
• superintendência dos terceiros prestadores de serviços de TIC críticos através de uma estrutura de supervisão própria.

Importa salientar que as normas técnicas e orientações das Autoridades Europeias de Supervisão, emitidas em janeiro e julho de 2024, também entrarão em vigor a 17 de janeiro de 2025.

O e de da recomenda que as entidades reforcem desde já a sua segurança digital e adotem medidas de conformidade com o DORA, assegurando assim a capacidade de resposta e recuperação perante incidentes graves e garantindo a continuidade das suas operações.

Estamos inteiramente à disposição para prestar o necessário apoio neste processo de adaptação e para fornecer quaisquer esclarecimentos ou aconselhamento adicional sobre este tema.