A Lei sobre a Resiliência Operacional Digital (DORA) é uma proposta legislativa da Comissão Europeia destinada a reforçar a resiliência operacional do setor financeiro na União Europeia (UE). O regulamento proposto visa dar resposta à crescente dependência dos sistemas de tecnologias da informação e da comunicação (TIC) e dos processos operacionais digitais no setor financeiro. A DORA estabelece um quadro para a gestão de riscos das TIC, a notificação de incidentes e os acordos de externalização para empresas financeiras, tais como bancos, seguradoras e empresas de investimento.
A DORA atribui à administração da empresa a responsabilidade de assumir a «responsabilidade total e final» pela gestão dos riscos de TIC, pela definição e aprovação da sua estratégia de resiliência operacional digital e pela revisão e aprovação da política da empresa relativa à utilização de prestadores de serviços de TIC externos (TPP), entre outras responsabilidades.
A proposta da DORA foi publicada em dezembro de 2022 e entrou em vigor em janeiro de 2023. As organizações devem começar a cumprir o DORA a partir de janeiro de 2025. O DORA aplica-se à grande maioria das empresas do setor financeiro que operam na UE. Embora o DORA seja um regulamento da UE, se a sua organização estiver localizada fora da UE, considera-se que está abrangida pelo âmbito de aplicação do regulamento caso tenha escritórios na UE ou preste serviços a uma instituição financeira que preste serviços na UE.
O que é que as empresas são obrigadas a fazer ao abrigo da DORA?
- Definir tolerâncias de risco para interrupções nas TIC, com base em indicadores-chave de desempenho e métricas de risco.
- Identificar as suas «funções críticas ou importantes».
- Realizar análises de impacto nos negócios com base em cenários de «perturbação grave da atividade».
- Utilize o novo quadro de classificação, notificação e comunicação para recolher, analisar, escalar e divulgar informações relativas a incidentes e ameaças no domínio das TIC.
- Quantificar o impacto dos incidentes e analisar as suas causas profundas.
- No caso de uma ameaça cibernética significativa, notifique as entidades reguladoras e forneça informações sobre as medidas de proteção adequadas adotadas para se defender contra a ameaça.
- Demonstrar que realizam um conjunto adequado de testes de resiliência operacional e de segurança digitais nos seus «sistemas e aplicações de TIC críticos». «Resolver integralmente» quaisquer vulnerabilidades identificadas pelos testes.
- Se for ultrapassado um determinado limiar, realizar testes de penetração «avançados» orientados para ameaças (TLPT) de três em três anos e incluir todos os TPP que prestam apoio às CIF nos exercícios de testes avançados.
- Inclua todos os termos acima referidos nos contratos com prestadores de serviços externos.
- Realizar avaliações do risco de concentração em todos os contratos de subcontratação que apoiam a prestação dos CIF.
As empresas devem realizar uma análise de lacunas para elaborar um plano de ação destinado a conceber e implementar um quadro reforçado de resiliência operacional até janeiro de 2025, em conformidade com os novos requisitos da DORA. Para obter ajuda na implementação destas orientações, consulte a Archer Operational Resilience.
Contacte-nos para falar com um especialista da Archer.
