O Regulamento (UE) 2022/2554 — DORA, Digital Operational Resilience Act — partiu de uma constatação desconfortável: o sistema financeiro depende de tecnologia que não controla. Desde 17 de janeiro de 2025, mais de 20 tipos de entidades financeiras europeias precisam provar, com testes e evidências, que aguentam o tranco digital.
Os cinco pilares
Gestão de riscos de TIC com responsabilidade do órgão de administração (o conselho responde); gestão e reporte de incidentes com prazos e formatos harmonizados; testes de resiliência — incluindo threat-led penetration testing (TLPT) para as entidades significativas; gestão de riscos de terceiros de TIC com contratos padronizados e estratégia de saída; e compartilhamento de inteligência de ameaças. O ponto revolucionário: provedores críticos de tecnologia (nuvem incluída) entram sob supervisão direta das autoridades financeiras europeias.
Por que interessa ao Brasil
Dois motivos. Primeiro: fintechs e instituições brasileiras com operação ou parceiros na UE já recebem os anexos contratuais do DORA para assinar. Segundo: o Bacen segue a mesma trilha regulatória — Resolução CMN 4.893/2021 (cibersegurança e nuvem) e o arcabouço de gestão de riscos operacionais apontam para a mesma doutrina de resiliência demonstrável. Quem estrutura hoje continuidade (ISO 22301) e segurança (ISO 27001) com testes reais está, na prática, antecipando a régua que vem.
O DORA criou a figura inédita do fornecedor de TIC “criticamente importante” supervisionado diretamente por autoridade financeira — com poder de inspeção e multa diária. É a primeira vez que big techs de nuvem respondem formalmente a regulador bancário, um precedente que outros setores e jurisdições observam com atenção.
Referências e legislação
- Regulamento (UE) 2022/2554 (DORA) · Resiliência operacional digital do setor financeiro
- Resolução CMN nº 4.893/2021 · Política de segurança cibernética e nuvem no Brasil — acessar
- ISO 22301 / ISO/IEC 27001 · Bases de conformidade aceitas nas evidências
Financeiras brasileiras que tratam DORA como “assunto europeu” vão redescobri-lo dentro dos contratos dos seus parceiros globais — a régua viaja por cláusula, não por fronteira. Melhor lê-la antes de assiná-la.
— Núcleo Técnico EBAEM · Empresa Brasileira de Assessoria Executiva e Multidisciplinar
Como a EBAEM ajuda: fale com nosso time e transforme este tema em plano de ação na sua organização.