← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

DORA: o que mudou desde janeiro de 2025 e as prioridades de supervisão

Balanço do DORA: 3.383 incidentes graves de TIC em 2025, 19 fornecedores críticos sob supervisão direta e o foco do BCE em resiliência até 2028.

2026-10-09

O Regulamento de Resiliência Operacional Digital, o DORA (Regulamento UE 2022/2554), passou a ser aplicado em 17 de janeiro de 2025. Quase dois anos depois, já é possível medir o que mudou: os supervisores europeus publicaram o primeiro balanço de incidentes graves, designaram os primeiros fornecedores críticos de tecnologia e incluíram o tema entre as prioridades de supervisão bancária até 2028.

Para bancos, seguradoras, gestoras, instituições de pagamento e fintechs que operam na União Europeia, o DORA deixou de ser projeto de adequação e virou rotina de supervisão.

O que o DORA exige

O regulamento unificou regras de gestão de risco de tecnologia da informação e comunicação (TIC) no setor financeiro. Na prática, as instituições precisaram, desde janeiro de 2025:

manter uma estrutura de gestão de risco de TIC aprovada pela administração;
classificar e reportar incidentes graves de TIC às autoridades;
testar a resiliência digital, incluindo testes de intrusão baseados em ameaças (TLPT) para entidades designadas;
gerenciar o risco de terceiros de TIC e manter um registro de informações de todos os contratos com fornecedores de tecnologia.

Segundo o escritório Walkers, as autoridades nacionais precisavam enviar esses registros às Autoridades Europeias de Supervisão (ESAs) até 30 de abril de 2025, o que obrigou as empresas a prepará-los ainda em abril.

Os prazos de notificação de incidentes

A autoridade austríaca FMA resume o rito de notificação de incidentes graves de TIC:

Etapa	Prazo
Notificação inicial	Em até 4 horas após classificar o incidente como grave e no máximo 24 horas após tomar conhecimento
Relatório intermediário	Em até 72 horas após a notificação inicial
Relatório final	Em até 1 mês após o último relatório intermediário

Para ser considerado grave, o incidente precisa afetar serviços críticos e, além disso, envolver acesso malicioso com risco de perda de dados ou atingir dois ou mais limites de materialidade (clientes afetados, duração, alcance geográfico, impacto econômico, entre outros). Incidentes recorrentes com a mesma causa, ao menos duas vezes em seis meses, podem ser somados. A FMA lembra também que o DORA é lex specialis em relação à NIS2 e substituiu o reporte de incidentes da PSD2 para prestadores de pagamento abrangidos.

O primeiro balanço: 3.383 incidentes graves

Em 3 de junho de 2026, as ESAs publicaram o primeiro relatório sobre incidentes graves de TIC sob o DORA. Foram 3.383 incidentes reportados por entidades financeiras da UE, cerca de 0,18 por entidade sujeita ao regulamento. Um terço teve impacto transfronteiriço, e apenas cerca de 10% eram incidentes de cibersegurança: falhas de sistema e eventos externos foram os principais motores.

A análise do escritório Ropes & Gray detalha o retrato:

o setor de crédito respondeu por mais de 60% dos incidentes e o de pagamentos por 16%;
cerca de dois terços dos casos causaram nenhuma ou pouca interrupção;
só 30 incidentes (cerca de 1%) afetaram um milhão ou mais de transações;
entre os incidentes de cibersegurança, DDoS (33%) e exfiltração ou manipulação de dados (31%) foram as técnicas mais comuns;
quase um terço dos incidentes graves teve origem em falhas atribuídas a terceiros.

O mesmo texto registra que, em 7 de julho de 2026, o Conselho Europeu de Risco Sistêmico (ESRB) elevou sua avaliação do risco cibernético sistêmico de "elevado" para "severo", citando ameaças ligadas a IA de fronteira.

Fornecedores críticos sob supervisão direta

Em 18 de novembro de 2025, EBA, EIOPA e ESMA publicaram a lista dos primeiros fornecedores terceiros críticos de TIC (CTPPs). Segundo a Morgan Lewis, são 19 empresas, entre provedores de nuvem em hiperescala, data centers, infraestrutura e rede e tecnologia específica para serviços financeiros.

Esses fornecedores passam a ser supervisionados diretamente pelas ESAs, que podem emitir recomendações de correção. Se o CTPP não cumprir, a autoridade pode tornar o fato público e, em último caso, exigir que as instituições financeiras suspendam ou encerrem os contratos. Cada CTPP precisa designar uma entidade jurídica na UE como ponto de coordenação e pagar taxas anuais de supervisão.

Prioridades de supervisão até 2028

O Banco Central Europeu colocou resiliência operacional e capacidades de TIC entre suas prioridades de supervisão para 2026–2028. Segundo o resumo do escritório A&L Goodbody, o plano inclui:

acompanhamento da remediação em bancos com deficiências materiais em segurança de TIC, resiliência cibernética e terceirização;
inspeções no local sobre gestão de cibersegurança e risco de terceiros alinhadas ao DORA;
testes TLPT para identificar vulnerabilidades;
revisão direcionada de gestão de mudanças em TIC;
análise aprofundada da dependência de provedores de nuvem;
workshops sobre aplicações de IA generativa e cooperação no âmbito do AI Act.

Checklist para instituições financeiras

Cruze o registro de informações com a lista dos 19 CTPPs designados.
Planeje cláusulas contratuais e estratégias de saída para fornecedores concentrados, inclusive os que não estão na lista.
Teste o relógio de 4h/24h/72h com exercícios simulados.
Reforce a gestão de mudanças: falhas de sistema lideram os incidentes.
Prepare-se para TLPT e inspeções sobre risco de terceiros.