A Lei de Resistência Digital Operacional (DORA) é uma iniciativa regulatória da Comissão Europeia (UE), com o objetivo de fortalecer medidas de cibersegurança no setor de serviços financeiros da UE. Com entrada em vigor a partir de janeiro de 2025, a DORA impõe medidas significativas para fortalecer a resiliência dos principais participantes do sistema financeiro contra ameaças crescentes de ciberataques e outros riscos.
A DORA inclui um conjunto abrangente de regulamentos destinados a consolidar e elevar os requisitos de risco de tecnologia da informação e comunicação (ICT) em todos os setores financeiros. Este sistema estrutural garante que todos os participantes cumpram um conjunto comum de padrões de risco da ICT, criando uma defesa unificada e robusta contra possíveis interrupções.
Os principais objetivos do DORA se concentram em gerenciamento de risco, notificação de incidentes, testes de resiliência, gerenciamento de risco associado a entidades terceiras e compartilhamento de informações. Esses requisitos impõem às instituições financeiras, bem como aos principais fornecedores externos, como provedores de serviços em nuvem (CSPs), a necessidade de implementar processos e procedimentos específicos.
Principais requisitos
As empresas sujeitas à DORA têm a obrigação de cumprir cinco requisitos básicos:
- Plano de resposta a incidentes: As empresas devem desenvolver um plano detalhado de resposta a incidentes, no qual serão definidos ataques cibernéticos, as respostas apropriadas dos funcionários e os procedimentos para restabelecer as operações após uma violação de segurança.
- Programa de cibersegurança: É requerida a implementação de um programa abrangente de cibersegurança, incluindo a avaliação de riscos associados aos ataques cibernéticos e os planos apropriados para mitigar esses riscos.
- Controles de segurança: As empresas devem manter controles de segurança sólidos sobre sua infraestrutura digital, incluindo criptografia, autenticação, controle de acesso, registros de auditoria, sistemas de monitoramento, sistemas de gerenciamento de incidentes.
- Relatório de incidentes: É exigido um relatório oportuno de incidentes, permitindo que as autoridades regulatórias avaliem a vulnerabilidade e forneçam recomendações para melhorar a segurança.
- Continuidade do serviço: Estabelecer um plano para garantir a continuidade do serviço durante interrupções é essencial para a conformidade com as regulamentações.
O enquadramento de supervisão definido pela DORA impõe às instituições reguladoras da UE a obrigação de auditar e avaliar o controlo das empresas, garantindo a conformidade com os padrões estabelecidos pela DORA e a capacidade de manter um ambiente seguro e resistente para gerir dados financeiros.
Vale salientar que o impacto da DORA não se limita apenas à UE, já que as autoridades reguladoras, incluindo a Comissão de Valores Mobiliários e Câmbio dos Estados Unidos (SEC), propuseram medidas paralelas. Em resposta a essas mudanças, empresas como a SS&C Advent estão se adaptando ativamente às demandas da DORA, destacando a importância da segurança, conformidade e resiliência na paisagem digital constantemente evolução de hoje.
A quais organizações a DORA se aplica?
- Instituições de crédito;
- Instituições de pagamento;
- Prestador de serviços de informação da conta;
- Instituições de dinheiro eletrônico;
- Instituições que prestam serviços financeiros;
- Fornecedores externos de serviços de tecnologia da informação e comunicação (ICT); e fornecedores de serviços de ativos criptográficos autorizados pela regulamentação do Parlamento Europeu e do Conselho sobre mercados de ativos criptográficos e emissores de tokens baseados em ativos.
- Centros de negociação;
- Registros comerciais;
- Gestores de fundos de investimento alternativos;
- Sociedades gestoras;
- Fornecedores de dados para relatórios financeiros;
- Prestador de serviços de financiamento coletivo;
- Registro de securitização;
- Depósito central de valores mobiliários;
- Empresas de seguros e resseguros;
- Corretores de seguros, corretores de resseguros e agentes auxiliares de seguros;
- Instituições de programas de pensões de empregados;
- Agências de classificação de risco;
- Gerente de valores de referência críticos;
A DORA exige que as organizações financeiras monitorem e gerenciem o risco criado pelos fornecedores com os quais trabalham. Isso se aplica tanto a indivíduos como a organizações que prestam serviços a essas empresas financeiras – eles devem aderir às regras da DORA.
No entanto, deve-se notar que a DORA não se aplica a todas as entidades do setor financeiro. Algumas delas estão isentas, como instituições que gerenciam programas de pensão para menos de 15 pessoas, empresas pequenas, como corretores de seguros e algumas outras organizações. A lista completa pode ser encontrada no Artigo 2.3.
Cronograma para cumprir os requisitos da DORA
A DORA foi oficialmente aprovada no dia 16 de janeiro de 2023, e as instituições financeiras têm dois anos para se preparar. Isso significa que devem cumprir as regras da DORA até 17 de janeiro de 2025. Embora possa parecer que há muito tempo, é importante que as empresas financeiras comecem a implementar as novas regras agora. Eles não precisam esperar até o último minuto – podem começar a fazer mudanças para cumprir as exigências.
Como podemos ajudar?
Na Z3X, compreendemos perfeitamente os desafios que as empresas enfrentam ao se adaptar às regulamentações do Digital Operational Resilience Act (DORA). Com nosso conhecimento dos quadros regulatórios, estamos aqui para ajudar a sua empresa a garantir a conformidade com os requisitos do DORA.
Nossas soluções personalizadas são projetadas para ajudar as instituições financeiras a implementar as ações necessárias definidas pelo DORA. Desde o desenvolvimento de estruturas abrangentes de gestão de risco até a criação de planos sólidos de resposta a incidentes, nossa equipe na Z3X tem as ferramentas certas para guiar sua empresa durante todo o processo.
Oferecemos uma abordagem proativa, ajudando a sua organização a se manter à frente da concorrência e iniciar a implementação do DORA com bastante antecedência. Com nossa experiência e conhecimento, você pode simplificar a adoção do DORA, garantindo uma transição suave e minimizando as interrupções nos negócios.
Colabore com a Z3X, não apenas para cumprir as obrigações regulatórias, mas também para aumentar a resiliência e a segurança geral do seu negócio em um ambiente digital em constante mudança. Nosso objetivo é fornecer soluções práticas que atendam às necessidades específicas de sua organização, tornando a jornada em direção à conformidade com o DORA mais eficaz e eficiente. Deixe a Z3X ser sua parceira de confiança para lidar com a complexidade da regulamentação e garantir o futuro do seu negócio.
A regulamentação completa do DORA pode ser encontrada aqui.
—
Se preferir ler este artigo em inglês, você pode encontrar aqui: What is DORA and what does it mean for your company?
