DORA (Digital Operational Resilience Act)
A Lei de Resiliência Operacional Digital (DORA, Digital Operational Resilience Act) é um regulamento da União Europeia que visa garantir que as entidades financeiras sejam capazes de responder a ameaças cibernéticas e rupturas no campo da tecnologia de informação e comunicação.
O que é DORA
A Lei de Resiliência Operacional Digital (DORA, Digital Operational Resilience Act) é um regulamento da União Europeia que supervisiona as funções de segurança das entidades financeiras na região. Ela estabelece um marco regulatório unificado que exige que essas entidades gerenciem os riscos associados à tecnologia, comuniquem incidentes graves e assegurem a continuidade de suas atividades. A DORA se aplica a bancos, seguradoras, empresas de investimento, instituições de crédito e seus prestadores de serviços de tecnologia de informação e comunicação – como computação em nuvem e análise de dados.
Em vigor desde janeiro de 2025, a lei complementa iniciativas mais amplas da UE, como a Diretiva NIS2, e tem como objetivo harmonizar os padrões de cibersegurança e resiliência no setor financeiro.
Por que a lei DORA é importante
A DORA representa uma mudança significativa na forma como as instituições financeiras abordam a resiliência operacional e a gestão de riscos cibernéticos. Ela vai além da conformidade ao determinar condições para que essas instituições continuem operando mesmo durante grandes rupturas no âmbito das tecnologias de informação e comunicação.
A lei inclui obrigações relacionadas a testes, classificação de riscos e monitoramento de terceiros, a fim de aprimorar a resiliência em ecossistemas financeiros complexos. Ela também padroniza a forma como os incidentes devem ser comunicados e mitigados, o que proporciona coordenação e transparência.
A conformidade com a DORA ajuda as organizações a fortalecerem sua infraestrutura digital, reduzirem o risco de indisponibilidade e construírem confiança entre reguladores, clientes e parceiros.
Como a lei DORA é aplicada na prática
- Estabelecimento de estruturas de governança para a gestão de riscos relacionados a tecnologias de informação e comunicação e segurança cibernética.
- Realização de testes regulares de resiliência e simulações baseadas em cenários.
- Implementação de programas de gestão de riscos de terceiros para prestadores de serviços de tecnologia.
- Desenvolvimento de planos de recuperação e resposta a incidentes alinhados aos requisitos de comunicação da lei.
- Coordenação da supervisão entre equipes de gestão de riscos, conformidade e segurança cibernética.
- Documentação de evidências de resiliência operacional para auditorias.
Leis e normas relacionadas
- Diretiva NIS2
- Regulamento Geral de Proteção de Dados da UE (GDPR)
- Norma ISO/IEC 27001 (gestão da segurança da informação)
Como a OneTrust pode ajudar
A plataforma OneTrust ajuda as organizações a assegurarem a conformidade com a lei DORA, centralizando a gestão de riscos, o monitoramento de terceiros e a comunicação de incidentes. O software permite a automação de avaliações, o rastreamento de evidências e a documentação, o que ajuda a preparar a organização para auditorias e obrigações regulatórias em operações internacionais.
[Explorar soluções →]
Perguntas frequentes
A lei DORA se aplica especificamente ao setor financeiro e seu ecossistema tecnológico, enquanto a diretiva NIS2 é voltada a prestadores de serviços essenciais e digitais de todos os setores. Os dois instrumentos promovem a resiliência e a segurança cibernética, mas a lei DORA impõe requisitos mais rigorosos de governança e teste.
A lei DORA se aplica a instituições financeiras, como bancos, seguradoras e empresas de investimento, bem como a prestadores de serviços de tecnologia de informação e comunicação críticos para as operações financeiras, o que inclui provedores de computação em nuvem e análise de dados.
A lei DORA dá ênfase à gestão de riscos de terceiros, exigindo que as instituições financeiras identifiquem, avaliem, monitorem e mitiguem os riscos decorrentes de seu envolvimento com prestadores de serviços de tecnologia de informação e comunicação.
Nos termos da lei, as organizações devem firmar acordos contratuais apropriados, monitorar continuamente seus prestadores de serviços e manter estratégias para reduzir riscos associados à dependência desses parceiros. O regulamento inclui ainda uma estrutura de supervisão para prestadores de serviços de tecnologia de informação e comunicação no âmbito da UE, reforçando a resiliência na cadeia de fornecimento do setor financeiro.
