A quem se aplica
Bancos, instituições de pagamento e de moeda eletrónica, empresas de investimento, seguradoras, prestadores de serviços de criptoativos e outras entidades financeiras enumeradas no artigo 2.º. Os terceiros prestadores críticos de serviços de TIC ficam sob supervisão direta da UE. Os outros prestadores de TIC sentem-no através dos contratos dos seus clientes.
Os cinco pilares
- Gestão do risco associado às TIC (artigos 5.º a 16.º): um quadro documentado, pelo qual o órgão de direção responde.
- Gestão e notificação de incidentes relacionados com as TIC (artigos 17.º a 23.º): classificar os incidentes e notificar os graves à autoridade.
- Testes de resiliência operacional digital (artigos 24.º a 27.º): um programa de testes e, para as entidades designadas, testes de penetração baseados em ameaças.
- Risco de terceiros prestadores de TIC (artigos 28.º a 44.º): requisitos contratuais, um registo de informações e estratégias de saída.
- Partilha de informações (artigo 45.º): troca voluntária de informações sobre ameaças.
Por onde começar
- Confirmar que está abrangido e se se aplica um regime simplificado.
- Mapear as suas funções críticas e as TIC que as suportam.
- Construir o registo de informações sobre os seus contratos de TIC.
- Comparar o seu processo de incidentes com os critérios de classificação e os prazos das normas técnicas.
- Rever os contratos à luz do artigo 30.º.
Perguntas
- O DORA é uma diretiva ou um regulamento?
- Um regulamento: aplica-se diretamente em todos os Estados-Membros, ao contrário da NIS2, que é transposta para o direito nacional.
- O DORA substitui a NIS2 para as entidades financeiras?
- O DORA é o ato específico do setor financeiro nestas matérias, por isso as suas regras prevalecem para as entidades que abrange.