1. Introdução

O setor financeiro está cada vez mais digitalizado, o que traz inúmeras oportunidades, mas também aumenta a exposição a riscos cibernéticos. Em resposta a esses desafios, a União Europeia adotou o Digital Operational Resilience Act (DORA), uma regulamentação que visa fortalecer a resiliência operacional digital de instituições financeiras e seus prestadores de serviços.

A DORA surge em um momento em que as ameaças cibernéticas se tornam mais frequentes e sofisticadas, com incidentes de segurança potencialmente causando grandes prejuízos financeiros e danos à confiança do público. Essa regulamentação é uma iniciativa essencial para proteger o ecossistema financeiro europeu contra interrupções e ataques, garantindo a continuidade dos negócios e a proteção de consumidores e investidores.

2. O que é a DORA?

A Digital Operational Resilience Act é uma regulamentação da União Europeia adotada em dezembro de 2022, que será aplicada integralmente a partir de janeiro de 2025. Seu objetivo principal é garantir que instituições financeiras possam resistir, responder e se recuperar de incidentes digitais, como falhas tecnológicas e ciberataques.

A DORA complementa outras regulamentações da UE, como:

• GDPR (General Data Protection Regulation): Focado na proteção de dados pessoais.
• NIS2 (Network and Information Security Directive): Voltado para a segurança cibernética em setores críticos.

Diferentemente dessas regulamentações, a DORA é específica para o setor financeiro e aborda a resiliência operacional digital como um todo. Isso inclui desde governança interna até a supervisão de fornecedores terceirizados críticos.

3. Quem está sujeito a essa regulamentação?

A abrangência da DORA é significativa, cobrindo uma ampla gama de organizações, incluindo:

• Bancos.
• Instituições de pagamento.
• Fundos de investimento.
• Seguradoras.
• Empresas de crédito.

Além disso, o DORA também inclui fornecedores de serviços terceirizados críticos, como:

• Provedores de serviços de nuvem.
• Empresas de tecnologia da informação.
• Fornecedores de soluções de segurança cibernética.

Essa inclusão reflete a crescente dependência de instituições financeiras em parceiros tecnológicos e a necessidade de supervisão adequada para garantir a continuidade operacional.

4. Principais Requisitos da DORA

A DORA é estruturada em torno de quatro pilares principais que estabelecem padrões técnicos e operacionais para as organizações. Esses pilares são essenciais para fortalecer a resiliência digital e minimizar os impactos de possíveis incidentes. Abaixo, exploro cada um deles em detalhes:

Governança e Gestão de Riscos Digitais

A DORA exige que as organizações adotem uma abordagem estratégica para a gestão de riscos digitais. Isso inclui:

• Estratégia e Políticas Formais: As empresas devem desenvolver políticas específicas para identificar, avaliar e mitigar riscos digitais, integrando-as ao planejamento estratégico geral.
• Envolvimento da Liderança: O conselho de administração ou alta gestão deve supervisionar ativamente as iniciativas de resiliência digital, garantindo alocação de recursos e monitoramento contínuo.
• Gestão Proativa de Riscos: Estabelecer processos claros para identificar ameaças emergentes, como novos tipos de malware ou vulnerabilidades em sistemas críticos.

Relatórios e Resposta a Incidentes

A regulamentação estabelece um ciclo claro de identificação, resposta e notificação de incidentes cibernéticos:

• Detecção e Resposta Rápidas: As organizações devem implantar ferramentas para detectar ataques ou falhas rapidamente e responder de forma eficaz para minimizar danos.
• Notificação às Autoridades: Incidentes relevantes devem ser reportados a reguladores da União Europeia dentro de prazos específicos, com detalhes técnicos e um plano de contenção.
• Documentação de Lições Aprendidas: Após cada incidente, é necessário documentar os eventos, identificar falhas e atualizar as políticas de prevenção.

Testes de Resiliência Operacional

Uma característica única da DORA é a obrigatoriedade de testes regulares da resiliência digital das empresas:

• Testes de Cenários: Simulações que replicam ataques cibernéticos reais, permitindo avaliar a prontidão dos sistemas e equipes.
• Auditorias Internas: Revisões sistemáticas para verificar a eficácia dos controles implementados.
• Testes Realizados por Terceiros: Em alguns casos, empresas terceirizadas especializadas devem ser contratadas para realizar avaliações imparciais.

Gestão de Terceiros

A regulamentação reconhece que muitas organizações dependem de prestadores de serviços terceirizados, como provedores de nuvem e soluções de TI. Para lidar com esse risco, a DORA exige:

• Avaliação de Provedores Críticos: Garantir que fornecedores essenciais sigam padrões de segurança e estejam preparados para enfrentar incidentes cibernéticos.
• Supervisão Regulatória: Reguladores da UE terão autoridade para auditar e supervisionar diretamente fornecedores considerados críticos.
• Contratos Rigorosos: As organizações devem formalizar contratos que detalhem obrigações relacionadas à cibersegurança e à continuidade operacional.

5. Impacto nas Empresas Fora da UE

Embora a DORA seja uma regulamentação voltada para o mercado europeu, seus efeitos se estendem para além das fronteiras da União Europeia, impactando empresas em outras regiões, incluindo o Brasil. Isso ocorre especialmente quando essas empresas fornecem serviços essenciais ou críticos para instituições financeiras localizadas na UE. 

Prestadores de serviços terceirizados

Organizações como provedores de nuvem, desenvolvedores de software financeiro e empresas especializadas em cibersegurança devem estar prontas para demonstrar conformidade com os rigorosos padrões estabelecidos pela DORA, já que sua relevância operacional pode ser considerada crítica para o funcionamento de seus clientes europeus.

Exigências Contratuais

Empresas europeias estarão legalmente obrigadas a incluir em seus contratos cláusulas específicas que assegurem a implementação de medidas robustas de cibersegurança pelos seus parceiros. Isso significa que fornecedores precisarão se comprometer com auditorias periódicas, testes de resiliência operacional e a comunicação de incidentes que possam afetar os serviços prestados às instituições financeiras na UE. Essa relação comercial, portanto, trará novas responsabilidades para as empresas brasileiras que desejam se manter no mercado internacional.

Supervisão Direta por Reguladores da UE

Caso um fornecedor seja classificado como crítico para a operação de uma instituição financeira europeia, os reguladores poderão solicitar auditorias detalhadas ou até exigir relatórios regulares sobre o cumprimento das exigências do DORA. Esse nível de supervisão eleva a complexidade operacional, mas também reforça a necessidade de preparar-se adequadamente para esses cenários.

Alinhamento com Padrões Internacionais

Adotar frameworks reconhecidos globalmente, como a ISO 27001 para gestão de segurança da informação ou o NIST Cybersecurity Framework, pode facilitar a adaptação às regulamentações europeias e oferecer um diferencial competitivo. Esses frameworks oferecem diretrizes claras que ajudam as empresas a estruturar suas políticas de segurança e a demonstrar conformidade de maneira sistemática.

Oportunidades de Mercado

Empresas brasileiras que conseguirem demonstrar conformidade com os padrões da regulamentação podem ganhar destaque no mercado europeu, aumentando sua credibilidade e ampliando suas possibilidades de negócios. Isso posiciona tais empresas como parceiras confiáveis e líderes em cibersegurança e resiliência digital, abrindo portas para novas parcerias e expansão no cenário internacional.

6. O Papel da Cibersegurança na DORA

A cibersegurança é um componente essencial para o sucesso da DORA, garantindo que instituições financeiras e seus parceiros possam operar com segurança e resiliência em um cenário de ameaças crescentes. Abaixo, destacam-se os principais aspectos do papel da cibersegurança nessa regulamentação:

• Alinhamento com frameworks globais: A DORA incentiva a adoção de padrões internacionais, como a ISO 27001 e o NIST Cybersecurity Framework, para estruturar e monitorar a segurança da informação.

• Boas práticas essenciais: Organizações devem implementar medidas como:
  • Monitoramento em tempo real para detectar e responder a ameaças.
  • Testes regulares de vulnerabilidades e auditorias internas.
  • Soluções de criptografia e autenticação para proteger dados sensíveis.

• Capacitação de equipes: A preparação contínua dos colaboradores é indispensável. Treinamentos regulares e simulações ajudam as equipes a lidar com incidentes e a garantir o cumprimento das políticas de segurança.

• Gestão de terceiros: A segurança deve ser estendida a toda a cadeia de valor. Isso envolve:
  • Avaliação e monitoramento de fornecedores críticos.
  • Exigência de conformidade com padrões de cibersegurança.
  • Contratos claros que detalhem obrigações de segurança e continuidade operacional.

A cibersegurança, no contexto da DORA, não é apenas uma exigência regulatória, mas uma estratégia essencial para garantir a continuidade e a confiança no setor financeiro.

7. Como se Preparar para a DORA

A preparação para a DORA exige planejamento estratégico e ações práticas. Abaixo estão os principais passos para alinhar-se à regulamentação:

• Avaliação de conformidade: Identifique lacunas nos processos e sistemas da organização em relação aos requisitos da DORA e desenvolva um plano de ação para abordá-las.

• Fortalecimento da segurança cibernética:
  • Crie ou atualize políticas de gerenciamento de riscos digitais.
  • Implemente controles técnicos para proteger dados e sistemas.
  • Estabeleça processos claros para resposta e notificação de incidentes.

• Ferramentas de monitoramento e gestão: Utilize soluções que permitam:
  • Detecção e resposta em tempo real a ameaças.
  • Gestão centralizada de riscos e conformidade.

• Revisão de contratos: Certifique-se de que os acordos com clientes e parceiros europeus atendam às exigências da DORA, incluindo cláusulas sobre auditorias e notificações de incidentes.

• Capacitação contínua: Realize treinamentos e simulações regulares para preparar equipes e consolidar uma cultura de segurança cibernética.

8. Conclusão

A Digital Operational Resilience Act (DORA) é um marco na regulamentação de resiliência digital no setor financeiro. Ele não apenas protege o mercado europeu contra interrupções cibernéticas, mas também define um padrão global que impacta empresas de fora da UE.

Preparar-se para a DORA é uma oportunidade para fortalecer a cibersegurança, construir confiança com clientes e expandir negócios no mercado europeu.
Se sua empresa precisa de suporte para atender às exigências da DORA, a Critical Security está pronta para ajudar. Entre em contato conosco para uma avaliação personalizada e serviços especializados em cibersegurança e conformidade regulatória.

Entre em contato com a Critical Security

Whatsapp/Telefone: +55 (61) 3702-0800

E-mail: [email protected]

Leandro Malaquias

CISM, C|CISO, CISSP, ISO 27001-LA