Compliance DORA na Espanha

Cumpra o Regulamento DORA (Digital Operational Resilience Act) com assessoria especializada: análise de lacunas (gap analysis), gestão de riscos de TIC, requisitos para fornecedores terceiros, testes de resiliência e notificação de incidentes para entidades financeiras sujeitas ao Regulamento (UE) 2022/2554.

Fale conosco

Consulta gratuita sobre DORA

Respondemos em menos de 24 h

Notificação inicial
4 horas
Relatório intermediário
72 horas
Relatório final
1 mês
Regulamento DORA
Reg. 2022/2554
Os cinco pilares

DORA na prática: cinco obrigações reais

Gestão de riscos de TIC, notificação de incidentes, testes de resiliência, fornecedores terceiros e compartilhamento de informações: cada pilar tem seus próprios prazos, funções e evidências exigíveis.

Entidades financeiras

Análise de lacunas DORA

“Avaliamos o grau atual de cumprimento em relação aos requisitos do Regulamento DORA e identificamos as lacunas prioritárias para o seu plano de adequação.”

Gestão de riscos de TIC

Marco de gestão de riscos de TIC

“Desenhamos e implantamos o marco de gestão de riscos de TIC exigido pelo DORA: políticas, controles, funções e procedimentos aprovados pelo órgão de administração.”

Fornecedores terceiros

Gestão de fornecedores críticos de TIC

“Revisamos os contratos com fornecedores de TIC, identificamos os críticos, adaptamos as cláusulas aos requisitos do DORA e estruturamos o registro de informações exigido.”

Incidentes e resiliência

Notificação de incidentes e TLPT

“Implementamos os procedimentos de classificação e notificação de incidentes de TIC e coordenamos os testes TLPT exigidos pelo DORA para entidades significativas.”

Por que importa

Por que é urgente cumprir o DORA?

O DORA é aplicável desde janeiro de 2025. As entidades que ainda não iniciaram sua adequação estão expostas a sanções administrativas, à responsabilização da alta administração e a danos reputacionais perante o supervisor.

Obrigação legal desde janeiro de 2025: o Regulamento DORA é diretamente aplicável em toda a UE. As entidades que não o cumprirem estão expostas a sanções administrativas significativas e à supervisão ativa do Banco de España, da CNMV ou da DGSFP.

Amplo âmbito de aplicação: o DORA abrange bancos, seguradoras, gestoras de fundos, empresas de investimento, instituições de pagamento, prestadores de serviços de criptoativos (MiCA) e seus fornecedores críticos de TIC (CTPPs).

Riscos da cadeia de suprimentos de TIC: uma falha em um fornecedor de cloud ou de software pode gerar incidentes que a entidade financeira é obrigada a notificar em prazos muito curtos (4 horas a partir da classificação).

Responsabilidade direta Alta administração

O DORA atribui ao órgão de administração a responsabilidade de aprovar, supervisionar e revisar o marco de riscos de TIC. O desconhecimento não exime de responsabilidade.

Sanções Até 2% do faturamento

As infrações muito graves podem gerar sanções de até 2% do faturamento anual total, além da inabilitação dos dirigentes responsáveis.

Incidente sem processo Infração automática

A falta de notificação, dentro do prazo, de um incidente grave de TIC é, por si só, uma infração do Regulamento DORA passível de sanção administrativa direta.

Sua entidade está preparada para o DORA?

Uma análise de lacunas inicial identifica, em poucas semanas, as deficiências prioritárias, o regime de proporcionalidade aplicável e o plano de adequação mais eficiente para a sua entidade.

Ver regulação fintech
Perguntas frequentes

DORA: dúvidas frequentes

O que é o Regulamento DORA?

O Regulamento DORA (Digital Operational Resilience Act), Regulamento (UE) 2022/2554, é a norma europeia que estabelece os requisitos de resiliência operacional digital para as entidades financeiras. Passou a ser aplicável em 17 de janeiro de 2025 e é diretamente aplicável em todos os Estados-membros, sem necessidade de transposição.

Seu objetivo é garantir que as entidades financeiras possam prevenir, responder e se recuperar de todo tipo de perturbação e incidente relacionado às TIC. Não é uma recomendação: é uma obrigação legal com regime sancionador.

A quais entidades o DORA se aplica?

O âmbito de aplicação do DORA é muito amplo. Estão sujeitas a ele instituições de crédito, empresas de investimento, instituições de pagamento e de moeda eletrônica, gestoras de fundos (SGIIC, AIFM), seguradoras e resseguradoras, fundos de pensão, prestadores de serviços de criptoativos (CASP sob o MiCA), plataformas de crowdfunding e seus fornecedores críticos de TIC (CTPPs).

Se a sua entidade atua no setor financeiro da UE, é muito provável que esteja sujeita ao DORA. O primeiro passo é determinar o nível de aplicação e o regime de proporcionalidade.

Quais são os cinco pilares do DORA?

Os serviços de compliance DORA se organizam em torno dos cinco pilares do Regulamento, que representam as áreas de cumprimento obrigatório:

  • Gestão de riscos de TIC: marco, políticas, classificação de ativos e controles de segurança.
  • Gestão, classificação e notificação de incidentes graves de TIC às autoridades de supervisão.
  • Testes de resiliência operacional digital: testes básicos anuais e TLPT para entidades significativas.
  • Gestão do risco de fornecedores terceiros de TIC: contratos, registro, due diligence e CTPPs.
  • Compartilhamento de informações e inteligência sobre ciberameaças entre entidades financeiras.
O que o DORA exige na gestão de riscos de TIC?

O artigo 6 do DORA exige um marco de gestão de riscos de TIC documentado, aprovado pelo órgão de administração e revisado pelo menos uma vez por ano. Ele deve cobrir identificação, proteção, detecção, resposta e recuperação diante dos riscos de TIC.

  • Inventário e classificação dos ativos de TIC segundo sua criticidade para o negócio.
  • Política de segurança da informação e controle de acesso.
  • Plano de continuidade de negócios de TIC e plano de recuperação de desastres (DRP).
  • Procedimentos de gestão de mudanças, patches e vulnerabilidades.

A alta administração não pode delegar a responsabilidade: o DORA exige que o órgão de administração aprove e supervisione diretamente esse marco.

O que são os CTPPs e por que são importantes?

Os prestadores terceiros críticos de serviços de TIC (CTPPs) são designados pelas Autoridades Europeias de Supervisão (EBA, ESMA, EIOPA) em função de seu impacto sistêmico. Ficam sujeitos à supervisão direta europeia.

Os principais fornecedores de cloud (Microsoft Azure, Amazon AWS, Google Cloud) estão entre os candidatos naturais. As entidades que os contratam para funções críticas devem adaptar os contratos, participar de inspeções e ter planos de saída documentados.

Os contratos com fornecedores de TIC que apoiem funções críticas devem incluir cláusulas obrigatórias: descrição do serviço, SLA, direitos de auditoria, portabilidade de dados e plano de saída.

Quais são os prazos para notificar incidentes de TIC?

O DORA estabelece um regime harmonizado de notificação de incidentes graves de TIC com prazos muito curtos:

  • 4 horas a partir da classificação do incidente como grave: notificação inicial ao supervisor.
  • 72 horas: relatório intermediário com informações atualizadas sobre o incidente.
  • 1 mês: relatório final com análise das causas, do impacto e das medidas adotadas.

A falta de notificação dentro do prazo é, por si só, uma infração do Regulamento DORA passível de sanção. Ter o processo implantado antes que o incidente ocorra é a única garantia real.

Quanto tempo leva a adequação ao DORA?

O prazo varia conforme o porte da entidade, sua maturidade em cibersegurança e a extensão das lacunas identificadas:

  • Entidades pequenas ou médias com maturidade básica: entre 6 e 12 meses para uma adequação completa.
  • Entidades significativas ou com infraestruturas complexas: o projeto pode se estender, especialmente nos testes TLPT e na adaptação contratual com fornecedores críticos.

Como o DORA é aplicável desde janeiro de 2025, as entidades que ainda não iniciaram o processo devem agir com urgência para reduzir sua exposição regulatória e reputacional.

Qual é a diferença entre o DORA e a NIS2?

O DORA e a NIS2 coexistem, mas o DORA prevalece como lex specialis para as entidades financeiras no que se refere à gestão de riscos de TIC. Uma entidade financeira que cumpre o DORA é considerada alinhada aos requisitos equivalentes da NIS2.

Diferentemente da NIS2, que tem um alcance setorial mais amplo, o DORA foi concebido exclusivamente para o setor financeiro, com requisitos muito mais detalhados: prazos de notificação mais rigorosos, testes TLPT específicos e um regime de supervisão de fornecedores terceiros sem equivalente na NIS2.

Guia operacional

Guia prático: Regulamento DORA

O DORA não é só um projeto de TI: tem dimensões jurídicas, contratuais, de governança corporativa e de conformidade regulatória que exigem a participação ativa do departamento jurídico, do compliance e da alta administração, e não apenas da equipe de tecnologia.

Marco de TIC

O primeiro erro: tratá-lo como um projeto de TI

O DORA exige a aprovação e a supervisão ativa do órgão de administração. Sem o envolvimento do jurídico, do compliance e da alta administração, o marco de riscos de TIC nasce sem o respaldo de governança que o Regulamento exige.

Contratos

O trabalho contratual: mais complexo do que parece

Adaptar todos os contratos com fornecedores de TIC aos requisitos do DORA, especialmente quando há dezenas de fornecedores ativos, é uma tarefa de grande porte que exige coordenação entre jurídico, compras e TI durante meses.

Evidências

Documentar o processo é tão importante quanto cumprir

O DORA não exige apenas cumprir: exige poder demonstrar o cumprimento ao supervisor a qualquer momento. A rastreabilidade documental de cada decisão, política e teste realizado é essencial.

Plano de adequação ao DORA em 6 passos

  1. Análise de lacunas (gap analysis): avaliar o nível atual de cumprimento em relação aos cinco pilares do DORA, identificar as deficiências prioritárias e determinar o regime de proporcionalidade aplicável.
  2. Marco de gestão de riscos de TIC: desenhar e aprovar o marco conforme o artigo 6 do DORA, incluindo inventário de ativos, políticas de segurança, controles e plano de continuidade.
  3. Processo de notificação de incidentes: desenhar e implantar o processo de classificação, gestão e notificação ao Banco de España, à CNMV ou à DGSFP nos prazos do DORA (4h / 72h / 1 mês).
  4. Contratos com fornecedores de TIC: revisar e renegociar os contratos para incluir as cláusulas obrigatórias do DORA, criar o registro de contratos e classificar os fornecedores críticos (CTPPs).
  5. Testes de resiliência: realizar testes básicos anuais e, para entidades significativas, coordenar os TLPT conforme o marco TIBER-EU.
  6. Documentação e treinamento: documentar todo o processo para evidenciar o cumprimento perante o supervisor e treinar o órgão de administração e as equipes-chave.

Se você quer iniciar a adequação da sua entidade ao DORA, consulte nossos serviços de regulação fintech ou a área de compliance fintech integral.

DORA na prática

Da obrigação ao sistema: como o DORA é implantado na prática

O Regulamento DORA não se cumpre com um documento: é um conjunto de processos vivos (gestão de riscos de TIC, notificação de incidentes, fornecedores terceiros e testes de resiliência) que se demonstram com rastreabilidade perante o supervisor.

Marco de riscos de TIC do DORA1) Riscos de TIC

Marco de riscos de TIC: o que mais se improvisa

Sem um marco documentado, aprovado pelo conselho e revisado anualmente, o restante do cumprimento do DORA não tem base. É a peça que o supervisor revisa primeiro.

  • Inventário e classificação de ativos
  • Políticas de segurança e controle de acesso
  • Plano de continuidade e recuperação (DRP)
Notificação de incidentes de TIC do DORA ao Banco de España e à CNMV2) Incidentes

Notificação de incidentes: o relógio corre a partir da classificação

4 horas para a notificação inicial, 72 horas para o relatório intermediário, 1 mês para o relatório final. Sem um processo implantado, qualquer incidente grave é também uma infração do DORA.

  • Processo de classificação documentado
  • Canal de notificação ao supervisor
  • Registro de incidentes com rastreabilidade
Fornecedores terceiros de TIC, CTPPs e contratos no DORA3) Terceiros de TIC

Fornecedores terceiros: o trabalho contratual que mais atrasa

Adaptar os contratos com todos os fornecedores de TIC, identificar os CTPPs e documentar a due diligence é o bloco que mais consome tempo e o mais subestimado no início.

  • Cláusulas obrigatórias do DORA nos contratos
  • Registro de fornecedores de TIC atualizado
  • Plano de saída documentado por fornecedor
Testes de resiliência do DORA, TLPT e TIBER-EU4) Testes

Testes de resiliência: básicos e TLPT

Todas as entidades devem realizar testes básicos anuais. As entidades significativas devem coordenar TLPT com fornecedores certificados conforme o marco TIBER-EU, com periodicidade mínima de três anos.

Dica: para o supervisor, o plano de remediação das deficiências detectadas nos testes é tão importante quanto os próprios testes.
Proporcionalidade do DORA para entidades financeiras na EspanhaDecisão rápida

Proporcionalidade no DORA: o que se aplica à sua entidade?

Entidades pequenas

Regime simplificado: marco de TIC básico e testes básicos. Sem TLPT obrigatório. Análise de proporcionalidade documentada.

Entidades médias

Marco de TIC completo, processo de incidentes, contratos com cláusulas DORA e testes básicos anuais com plano de remediação.

Entidades significativas

Marco de TIC completo + TLPT trienal + supervisão de CTPPs + participação em inspeções de supervisão europeias.

Playbook DORA

DORA na prática

Pilar do DORA
O que se espera
Evidência típica

Gestão de riscos de TIC

Marco documentado, aprovado pelo conselho, com inventário de ativos, políticas de segurança e plano de continuidade de TIC revisado anualmente.

Política de riscos de TIC aprovada, inventário de ativos, atas do conselho e registro de atualizações.

Notificação de incidentes

Processo de classificação, gestão e notificação ao Banco de España / CNMV / DGSFP nos prazos do DORA (4h, 72h, 1 mês).

Procedimento de notificação, registro de incidentes, relatórios enviados ao supervisor e plano de remediação.

Testes de resiliência

Testes básicos anuais para todas as entidades; TLPT trienal para entidades significativas conforme o TIBER-EU.

Relatórios dos testes, plano de remediação das deficiências e, no caso dos TLPT, certificação do fornecedor e validação do supervisor.

Fornecedores terceiros de TIC

Política de gestão do risco de terceiros, registro de contratos, cláusulas obrigatórias do DORA e due diligence dos CTPPs.

Registro de fornecedores de TIC, contratos adaptados, relatórios de due diligence e planos de saída documentados.

Governança e treinamento

Órgão de administração diretamente responsável pelo marco de TIC, com treinamento específico em DORA e reporte periódico sobre o estado da resiliência operacional.

Atas de aprovação, programa de treinamento, evidências de participação e reporte de KPIs de resiliência ao conselho.

Erros frequentes em projetos de adequação ao DORA

Identifique-os antes de iniciar o projeto para evitar retrabalho e exposição perante o supervisor.

  • Tratar o DORA como um projeto exclusivamente de TI, sem envolver o jurídico, o compliance e a alta administração.
  • Subestimar o trabalho contratual com fornecedores de TIC: adaptar dezenas de contratos leva meses.
  • Não documentar o processo de adequação: cumprir sem evidências é tão ruim quanto não cumprir.
  • Ignorar o regime de proporcionalidade e aplicar requisitos de entidades significativas a entidades pequenas (ou vice-versa).
  • Não implantar o processo de notificação de incidentes antes que ocorra um incidente grave.
Glossário prático

Conceitos-chave: Regulamento DORA

Se você está implantando o compliance DORA na sua entidade, estes termos aparecem nas políticas, nos contratos e na relação com o supervisor. Entendê-los bem evita erros de interpretação que depois custam caro no processo de supervisão.

DORABase

Digital Operational Resilience Act

Regulamento (UE) 2022/2554, aplicável desde 17 de janeiro de 2025. Marco harmonizado de resiliência operacional digital para entidades financeiras em toda a UE.

Supervisores na Espanha: Banco de España, CNMV, DGSFP.
Marco de TICPilar 1

Marco de gestão de riscos de TIC

Sistema documentado de identificação, proteção, detecção, resposta e recuperação diante dos riscos de TIC. Deve ser aprovado e supervisionado pelo órgão de administração.

Evidência: política aprovada + atas do conselho + revisão anual.
Incidente grave de TICPilar 2

Notificação obrigatória

Incidente de TIC que ultrapassa os limites estabelecidos nas RTS do DORA. Deve ser notificado ao supervisor em 4 horas (inicial), 72 horas (intermediário) e 1 mês (final).

A falta de notificação dentro do prazo é uma infração autônoma.
TLPTPilar 3

Testes de penetração baseados em ameaças

Threat-Led Penetration Testing: testes avançados obrigatórios para entidades significativas, com periodicidade mínima de três anos, conforme o marco TIBER-EU.

Exige fornecedor certificado e validação do supervisor.
CTPPsPilar 4

Prestadores terceiros críticos de serviços de TIC

Fornecedores de TIC designados pela EBA, ESMA ou EIOPA em função de seu impacto sistêmico. Ficam sujeitos à supervisão direta europeia. Microsoft Azure, AWS e Google Cloud são candidatos naturais.

As entidades que os contratam têm obrigações adicionais.
ProporcionalidadeRegime

Princípio da proporcionalidade do DORA

As entidades pequenas e não interconectadas podem se beneficiar de um regime simplificado para alguns requisitos. A determinação exige uma análise documentada conforme os critérios das RTS.

Não é automático: deve ser analisado e documentado.
RTS / ITSTécnico

Normas técnicas de regulamentação

Regulatory Technical Standards e Implementing Technical Standards elaboradas pela EBA, ESMA e EIOPA, que detalham os requisitos específicos de cada pilar do Regulamento DORA.

As RTS são vinculantes e complementam o Regulamento.
TIBER-EUTestes

Marco europeu de testes avançados

Framework do BCE para os testes de penetração baseados em ameaças (TLPT). Na Espanha, coordenado pelo Banco de España e pela CNMV. Base metodológica dos TLPT do DORA.

Aplica-se a entidades significativas com TLPT obrigatório.
Gap analysisDiagnóstico

Análise de lacunas DORA

Avaliação inicial do grau atual de cumprimento em relação aos cinco pilares do DORA. Identifica as lacunas, determina o regime de proporcionalidade e gera o roteiro de adequação.

Primeiro passo obrigatório antes de qualquer projeto de adequação.
Contato

Agendar uma ligação

Conte-nos a situação da sua entidade e explicamos quais serviços de compliance DORA são prioritários e como estruturar o plano de adequação de forma eficiente.

Marco normativo do DORA na Espanha: Regulamento (UE) 2022/2554 e normas técnicas

O Regulamento DORA (Digital Operational Resilience Act) é a primeira norma europeia a estabelecer um marco harmonizado e completo de resiliência operacional digital especificamente para o setor financeiro. Passou a ser aplicável em 17 de janeiro de 2025 e é diretamente aplicável em todos os Estados-membros, sem necessidade de transposição nacional. Diferentemente da NIS2, que tem um alcance setorial mais amplo, o DORA foi concebido exclusivamente para entidades financeiras e seus fornecedores críticos de TIC, com requisitos muito mais detalhados e um regime de supervisão específico.

Âmbito de aplicação e proporcionalidade

O DORA é aplicável a mais de vinte tipos de entidades financeiras reguladas na UE. No entanto, o Regulamento incorpora o princípio da proporcionalidade: as entidades pequenas e não interconectadas têm acesso a um regime simplificado para alguns requisitos. Determinar se uma entidade pode se beneficiar do regime simplificado exige uma análise prévia dos critérios estabelecidos nas RTS da EBA, ESMA e EIOPA, que deve ser documentada e, em muitos casos, comunicada ao supervisor.

Supervisores competentes na Espanha

Na Espanha, a supervisão do cumprimento do DORA cabe a três autoridades, conforme o tipo de entidade: o Banco de España (banco central espanhol), para instituições de crédito, instituições de pagamento e EMI; a CNMV, para empresas de investimento, gestoras e plataformas; e a DGSFP, para seguradoras e fundos de pensão. A transposição do regime sancionador do DORA é feita por meio de alterações nas leis setoriais espanholas.

CTPPs e supervisão direta europeia

Uma das inovações mais relevantes do DORA é a criação de um regime de supervisão direta pelas Autoridades Europeias de Supervisão (EBA, ESMA, EIOPA) sobre os prestadores terceiros críticos de serviços de TIC (CTPPs). Os principais fornecedores de cloud — Microsoft Azure, Amazon AWS, Google Cloud — estão entre os candidatos naturais a serem designados CTPPs. As entidades que os utilizam para funções críticas devem se preparar para as implicações contratuais e operacionais dessa designação.

DORA e NIS2: coexistência e lex specialis

O DORA e a NIS2 coexistem, mas o DORA prevalece como lex specialis para as entidades financeiras no que se refere à gestão de riscos de TIC. Uma entidade financeira que cumpre o DORA é considerada alinhada aos requisitos equivalentes da NIS2. As entidades financeiras não devem ignorar a NIS2, mas o DORA é a norma de referência prioritária para o seu marco de resiliência operacional digital.

Regulamento (UE) 2022/2554 EBA / ESMA / EIOPA TIBER-EU NIS2 Banco de España CNMV CTPPs

Serviços de regulação fintech

Regulação fintech (hub) → Compliance fintech integral → Licença de instituição de pagamento → Licença EMI → Licença fintech →

Áreas relacionadas

Corporate compliance → Prevenção à lavagem de dinheiro (PLD/FT) → MiCA e criptoativos → Relatório de perito externo → Regulação do mercado de valores →

Recursos e blog

Blog: artigos sobre DORA e regulação fintech → Guias por setor → Advogado fintech →

Fontes oficiais

Normas de referência, com link para o texto oficial:

Normas e links revisados em .

Mais em Compliance corporativo