A Lei de Resiliência Operacional Digital tornou-se diretamente aplicável em todos os estados membros da UE em 17 de janeiro de 2025. As entidades financeiras devem agora implementar uma gestão abrangente dos riscos das TIC, incluindo avaliações obrigatórias de vulnerabilidade e testes de penetração conduzidos por ameaças. KENSAI ajuda você a cumprir.
Iniciar avaliação DORA → Agende uma demonstraçãoDORA aplica-se a um amplo conjunto de entidades financeiras que operam na UE – significativamente mais amplo do que os regulamentos anteriores:
| Tipo de entidade | No escopo |
|---|---|
| Instituições de crédito (bancos) | Sim |
| Instituições de pagamento | Sim |
| Instituições de dinheiro eletrônico | Sim |
| Empresas de investimento | Sim |
| Provedores de serviços de criptoativos (CASPs) | Sim – nova inclusão |
| Empresas de seguros/resseguros | Sim |
| Administradores de fundos de pensão | Sim |
| Provedores críticos de serviços terceirizados de TIC | Sim - como "fornecedores terceirizados de TIC essenciais" |
| Microempresas (<10 funcionários, <€2M volume de negócios) | Requisitos simplificados |
O capítulo IV do DORA (artigos 24–27) estabelece uma estrutura de teste de segurança de duas camadas:
Todas as entidades financeiras devem implementar um programa abrangente de testes de resiliência operacional digital. Isso inclui avaliações de vulnerabilidade, análises de código aberto, avaliações de segurança de rede, análises de lacunas, análises de segurança física e testes baseados em cenários – pelo menos anualmente.
Entidades financeiras significativas devem realizar TLPT pelo menos a cada 3 anos. O TLPT segue a estrutura TIBER-EU – testes de penetração baseados em inteligência que simulam TTPs realistas de atores de ameaças contra sistemas de produção. Deve ser realizado por testadores externos aprovados.
As entidades financeiras devem identificar, classificar e documentar todas as funções empresariais apoiadas pelas TIC e as suas dependências. A verificação de vulnerabilidades é o principal mecanismo técnico para a identificação contínua de riscos de TIC.
Monitoramento contínuo de sistemas de TIC, detecção de atividades anômalas e políticas que abrangem gerenciamento de vulnerabilidades, gerenciamento de patches e reforço de configuração.
As autoridades competentes (BCE, EBA, reguladores nacionais) podem exigir que as entidades financeiras: apresentem avaliações de risco de TIC mediante pedido, realizem inspeções no local da infraestrutura de TIC e encomendem análises de segurança independentes. A não conformidade pode resultar em multas de até 1% da média diária do faturamento mundial, aplicadas diariamente até que a conformidade seja alcançada.
TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) é a estrutura do BCE para testes de segurança avançados. O requisito TLPT do DORA é amplamente modelado no TIBER-EU. Características principais:
Nos termos do Artigo 24, o programa anual de testes básicos deve abranger:
Automatiza a avaliação anual de vulnerabilidade, avaliação de segurança de rede e análise de componentes de código aberto exigida no artigo 24.
Descobre e mapeia todos os ativos de TIC que suportam funções críticas de negócios — a base para o requisito de identificação de risco de TIC do DORA.
A avaliação de vulnerabilidade pré-TLPT identifica pontos fracos conhecidos antes do envolvimento da equipe vermelha – maximizando o valor do teste e demonstrando a devida diligência.
Avalie a superfície de ataque externo de fornecedores terceirizados de TIC críticos de acordo com DORA Capítulo V (gestão de risco da cadeia de suprimentos).
A detecção contínua de vulnerabilidades atende aos requisitos do artigo 9 para monitoramento contínuo e detecção de anomalias em sistemas de TIC.
Gere relatórios de vulnerabilidade alinhados com DORA para envio às autoridades competentes durante revisões de supervisão e inspeções no local.
💡 DORA e outros regulamentos: DORA tem um relacionamento "lex specialis" com GDPR, NIS2 e EMIR. Onde DORA fornece requisitos de risco de TIC mais específicos, aqueles prevalecem para entidades financeiras. No entanto, as obrigações de dados pessoais GDPR continuam a ser aplicadas de forma independente. Seu programa de testes de segurança deve satisfazer ambos.
| Marco | Data |
|---|---|
| DORA entrou em vigor | 16 de janeiro de 2023 |
| DORA tornou-se diretamente aplicável | 17 de janeiro de 2025 |
| Primeiro teste básico anual devido | 17 de janeiro de 2026 |
| Começa o primeiro ciclo TLPT (entidades significativas) | Dentro de 3 anos a partir da data de conformidade |
| Quadro crítico de supervisão dos fornecedores de TIC | 2025 (designações ESA) |
KENSAI automatiza a avaliação de vulnerabilidades e os testes de segurança de rede exigidos pelo artigo 24 do DORA, ao mesmo tempo que gera documentação pronta para reguladores para revisões de supervisão. Criado para entidades financeiras que operam sob supervisão regulatória da UE.
Iniciar avaliação DORA → Fale com um especialista em serviços financeiros