Frameworks – DORA: o que a plataforma cobre
O DORA é um regulamento da União Europeia sobre resiliência operacional digital no setor financeiro. Ele parte de uma constatação simples: bancos e seguradoras dependem de tecnologia de terceiros, e a falha desses terceiros é risco sistêmico.
Para uma empresa brasileira de tecnologia, isso significa que o regulamento pode chegar até você mesmo sem você ser uma instituição financeira.
Para quem serve
Duas situações, com pesos bem diferentes:
A empresa é uma instituição financeira que opera na Europa. Aqui o regulamento se aplica diretamente, e o trabalho é grande.
A empresa é fornecedora de tecnologia para instituições financeiras europeias. Este é o caso mais comum para empresas brasileiras. O regulamento exige que a instituição financeira governe os riscos dos seus fornecedores de tecnologia, e ela repassa essas exigências por contrato.
Se você recebeu um adendo contratual de um cliente financeiro europeu com exigências de resiliência, continuidade, direito de auditoria e notificação de incidentes, é disso que se trata.
O que ele cobra, em linhas gerais
O regulamento se organiza em frentes que cobrem:
- Gestão de risco de tecnologia, com governança e responsabilidade da alta administração.
- Registro e notificação de incidentes relacionados a tecnologia, com prazos definidos.
- Testes de resiliência, incluindo testes mais exigentes para entidades maiores.
- Gestão de risco de terceiros de tecnologia, com exigências contratuais específicas.
- Compartilhamento de informação sobre ameaças.
A ênfase geral não é evitar que algo falhe, e sim demonstrar que a operação continua quando algo falha. É por isso que continuidade tem peso tão grande aqui.
Se você é fornecedor, olhe para estas quatro coisas
As exigências que os clientes financeiros europeus mais repassam:
Continuidade demonstrável. Não basta ter plano. Espera-se objetivo de recuperação definido, exercício realizado e resultado registrado.
Notificação de incidente com prazo. O cliente tem prazo regulatório para notificar a autoridade, então ele vai exigir que você o informe rápido. Esse prazo vira obrigação contratual sua.
Direito de auditoria e de acesso. O contrato provavelmente dá ao cliente, e à autoridade, o direito de examinar seus controles. Ter tudo organizado transforma isso de crise em rotina.
Cadeia de subfornecedores. Quem você usa para entregar o serviço passa a interessar ao cliente. Seu próprio módulo de Fornecedores deixa de ser formalidade.
O que é comprovado automaticamente e o que não é
| Área | Como é comprovada |
|---|---|
| Proteção técnica do ambiente, acesso, criptografia, logs | Integrações |
| Backup e capacidade de recuperação | Integrações, mais evidência de teste |
| Continuidade, objetivos de recuperação e exercícios | Módulo de Continuidade |
| Registro e notificação de incidentes | Módulo de Incidentes |
| Gestão de subfornecedores | Módulo de Fornecedores |
| Governança e responsabilidade da administração | Documentos publicados |
| Testes de resiliência | Evidência periódica |
Este é um dos frameworks em que o módulo de Continuidade deixa de ser opcional. Ele é o coração da resposta.
Por onde começar
- Leia o adendo contratual. Ele é o que efetivamente se aplica a você, e é mais específico que o regulamento.
- Ative o módulo de Continuidade. Defina o que é crítico, quanto tempo você pode ficar fora, e quanto dado pode perder.
- Faça um exercício de continuidade e registre. Plano sem exercício é o achado mais comum.
- Ajuste o processo de incidentes ao prazo contratual. Se o cliente precisa saber em poucas horas, seu processo precisa suportar isso.
- Organize a lista de subfornecedores com avaliação registrada.
- Prepare o pacote de auditoria com antecedência. O Trust Center e a área de auditoria ajudam a atender pedidos sem parar a operação.
O que costuma dar problema
- Plano de continuidade nunca exercitado. É o item que mais separa quem atende de quem só declara.
- Prazo de notificação irrealista. Aceitar em contrato um prazo que o processo interno não sustenta.
- Subfornecedor não declarado. Especialmente serviços de nuvem e ferramentas de apoio.
- Objetivos de recuperação genéricos. Sem número definido, não há como demonstrar nada.
⚠️ Esta página descreve o propósito e a estrutura geral do regulamento em linguagem própria, para orientar o uso da plataforma. Ela não é orientação jurídica e não reproduz o texto normativo. O enquadramento da sua empresa, as obrigações aplicáveis e os prazos devem ser definidos com assessoria jurídica qualificada e confirmados no contrato com o cliente.
Este artigo foi útil?