Se você trabalha em uma entidade financeira, ou em uma empresa que fornece serviços de tecnologia para uma delas, o DORA já faz parte do seu dia a dia. O Digital Operational Resilience Act aplica-se diretamente em toda a União Europeia desde 17 de janeiro de 2025, e não é uma recomendação: é uma obrigação. Neste artigo explico, de forma clara, o que ele é, quem é afetado, o que exige e por onde faz sentido começar.

O que é o DORA, em uma frase

O DORA (Digital Operational Resilience Act) é o regulamento europeu que exige que o setor financeiro resista, responda e se recupere diante de qualquer incidente relacionado à tecnologia da informação. Em outras palavras: ter segurança de TI já não basta; é preciso demonstrar que a organização continua operando mesmo quando algo falha.

A ideia central: o DORA leva a resiliência operacional digital do terreno técnico para a sala do conselho. Deixa de ser "um assunto de TI" e passa a ser uma obrigação de governança corporativa, sob a responsabilidade do órgão de administração.

A quem se aplica

O alcance do DORA é amplo. Ele abrange quase todo o setor financeiro europeu e, de forma indireta mas muito real, os seus fornecedores de tecnologia. Entre as entidades sujeitas ao regulamento:

  • Instituições de crédito, de pagamento e de moeda eletrônica.
  • Empresas de investimento e gestoras de fundos.
  • Seguradoras e resseguradoras.
  • Prestadores de serviços de criptoativos.
  • E, de forma notável, os prestadores terceirizados de serviços de TIC considerados críticos, que ficam sob supervisão direta.

Se você é fornecedor de tecnologia para bancos, é melhor entender o DORA mesmo não sendo uma entidade financeira: os seus clientes vão impô-lo a você por contrato.

Quer se certificar como DORA Foundation?
Treinamento oficial PECB com um consultor em atividade, em autoestudo ou com acompanhamento individual em inglês.

Ver o curso →Falar com Ricardo

Os cinco pilares do DORA

Todo o regulamento se estrutura em cinco blocos. Entendê-los é entender o DORA:

1. Gestão de riscos de TIC

A base de tudo. Exige uma estrutura sólida para identificar, proteger, detectar, responder e recuperar. Não é opcional nem delegável: a responsabilidade final é do órgão de administração.

2. Gestão, classificação e notificação de incidentes

É preciso detectar os incidentes relacionados às TIC, classificá-los por gravidade e notificar os mais graves às autoridades dentro de prazos precisos. Improvisar aqui sai caro.

3. Testes de resiliência operacional digital

Dizer que se está pronto não basta: é preciso comprovar isso por meio de testes regulares. As entidades mais relevantes devem realizar testes avançados baseados em ameaças reais.

4. Gestão do risco de terceiros

Um dos pontos mais exigentes. Obriga a controlar o risco introduzido pelos fornecedores de tecnologia, com cláusulas contratuais específicas e um registro de informações atualizado.

5. Compartilhamento de informações

O DORA incentiva as entidades a compartilharem inteligência sobre ameaças entre si, para fortalecer a resiliência do setor como um todo.

Por onde começar se você ainda não avançou

Se você está atrasado, não entre em pânico, mas é preciso se mexer. Estes são os primeiros passos que recomendo nos projetos em que trabalho:

  1. Análise de lacunas. Compare o que você já tem (provavelmente muita coisa, se cumpre a ISO 27001) com o que o DORA exige. Identifique as lacunas reais.
  2. Inventário de fornecedores de TIC. Saber de quem você depende é metade do pilar de terceiros. Sem esse mapeamento, não há como gerenciá-lo.
  3. Estrutura de gestão de incidentes. Defina como você detecta, classifica e notifica, com prazos claros.
  4. Envolva a alta direção. O DORA está sob a responsabilidade do órgão de administração. Se ele não está informado e engajado, o projeto fica pela metade.
Uma vantagem pouco explorada: se a sua organização já tem um sistema de gestão de segurança da informação conforme a ISO 27001, você parte com boa parte do caminho já percorrido. O DORA e a gestão de riscos de segurança se sobrepõem em muitos pontos.

Capacitar-se em DORA: por que a certificação faz a diferença

Entender o DORA lendo o regulamento é possível, mas lento e cheio de nuances. Uma certificação reconhecida, como a DORA Lead Manager da PECB, oferece a você a estrutura completa e organizada, e o credencia perante a sua organização e o mercado como a pessoa capaz de liderar o caminho até a conformidade. Para as equipes de compliance e de riscos do setor financeiro, é um dos cursos mais valiosos neste momento. O curso DORA Lead Manager está disponível como opção oficial PECB de autoestudo, para você avançar no seu ritmo, ou com acompanhamento individual em inglês até estar pronto para o exame, nas normas que ensino como PECB Certified Trainer.