O DORA — Digital Operational Resilience Act, Regulamento (UE) 2022/2554 — é a norma da União Europeia que estabelece requisitos obrigatórios de resiliência operacional digital para o setor financeiro. Aplicável desde 17 de janeiro de 2025, o regulamento organiza a governança de riscos de TIC em cinco pilares: gestão de risco de TIC, reporte de incidentes, testes de resiliência, gestão de terceiros críticos e compartilhamento de inteligência sobre ameaças.
O Digital Operational Resilience Act (DORA) transforma a resiliência operacional digital em um requisito prudencial para bancos, seguradoras, instituições de pagamento, gestoras de ativos, empresas de investimento, provedores de criptoativos e demais entidades financeiras reguladas na União Europeia.
Na prática, o DORA muda a forma como organizações financeiras e seus fornecedores de tecnologia precisam documentar, testar, monitorar e evidenciar a continuidade de serviços digitais críticos. O foco deixa de ser apenas segurança cibernética isolada e passa a ser a capacidade de manter a operação funcionando mesmo diante de incidentes severos, falhas tecnológicas, indisponibilidade de fornecedores ou ataques cibernéticos.
Para CIOs, CISOs, líderes de operações, gestores de risco, times de compliance e fornecedores de TIC que atendem instituições financeiras europeias, o DORA impacta contratos, auditorias, planos de continuidade, gestão de incidentes, inventário de ativos, CMDB, dependências com terceiros e evidências operacionais.
O que é o DORA?
O DORA é o regulamento europeu criado para harmonizar os requisitos de resiliência operacional digital no setor financeiro. Antes dele, bancos, seguradoras e outras instituições financeiras europeias estavam sujeitos a regras fragmentadas entre diferentes países e autoridades locais.
Com o DORA, a União Europeia passou a exigir um framework comum para que entidades financeiras consigam prevenir, resistir, responder e se recuperar de incidentes relacionados a tecnologias da informação e comunicação — TIC, ou ICT em inglês.
O regulamento entrou em vigor em 16 de janeiro de 2023 e passou a ser aplicável em 17 de janeiro de 2025. A partir dessa data, as entidades abrangidas precisam demonstrar conformidade com os requisitos de governança, gestão de risco, reporte, testes, terceiros e supervisão.
O que é resiliência operacional digital?
Resiliência operacional digital é a capacidade de uma organização continuar entregando serviços críticos mesmo diante de falhas tecnológicas, ataques cibernéticos, indisponibilidade de sistemas, interrupções em fornecedores ou eventos operacionais severos.
No contexto do DORA, isso significa que a instituição financeira precisa demonstrar, com processos formais e evidências auditáveis, que conhece seus ativos, sistemas, dados e dependências críticas; monitora riscos de TIC de forma contínua; possui processos estruturados para detectar e reportar incidentes; testa regularmente sua capacidade de resposta e recuperação; controla riscos associados a fornecedores terceiros de TIC; e mantém documentação, registros e trilhas de auditoria suficientes para supervisão regulatória.
O ponto central é que a resiliência operacional digital não depende apenas de ferramentas de segurança. Ela exige integração entre governança, processos, dados, arquitetura, continuidade, fornecedores e operação.
A quem o DORA se aplica?
O DORA se aplica a entidades financeiras reguladas na União Europeia e a provedores terceiros de serviços de TIC que prestam serviços a essas entidades. Entre os principais grupos abrangidos estão bancos e instituições de crédito, instituições de pagamento e de moeda eletrônica, seguradoras e resseguradoras, empresas de investimento e gestoras de ativos, fundos de investimento e administradoras, provedores de criptoativos, plataformas de crowdfunding, agências de rating, repositórios de negociação e securitização, e provedores terceiros de serviços de TIC — incluindo cloud, data centers, software, telecomunicações, outsourcing e serviços digitais críticos.
Embora o DORA seja uma norma europeia, seu efeito pode chegar a empresas brasileiras de tecnologia por meio de contratos com instituições financeiras da União Europeia. Nesses casos, o cliente europeu pode exigir cláusulas específicas de auditoria, continuidade, localização de dados, reporte de incidentes, participação em testes e evidências de controles operacionais.
Os cinco pilares do DORA
1. Gestão de risco de TIC
O primeiro pilar exige que a entidade financeira tenha um framework formal de gestão de risco de TIC. Esse framework deve ser aprovado, supervisionado e revisado pelo órgão de gestão da organização. Na prática, a instituição precisa manter controles para identificar ativos críticos, mapear funções de negócio suportadas por tecnologia, avaliar riscos, implementar mecanismos de proteção e detecção, executar planos de continuidade e manter documentação atualizada sobre sistemas, processos e responsabilidades.
2. Gestão, classificação e reporte de incidentes de TIC
O DORA exige que as entidades financeiras estabeleçam processos para detectar, registrar, classificar, gerenciar e reportar incidentes relacionados a TIC. Incidentes classificados como relevantes ou maiores devem ser comunicados às autoridades competentes conforme critérios regulatórios e modelos padronizados. Isso aumenta a necessidade de processos bem definidos de ITSM, SecOps, observabilidade, gestão de crise, comunicação e rastreabilidade de eventos.
3. Testes de resiliência operacional digital
O regulamento exige que as entidades financeiras realizem testes regulares de resiliência operacional digital. Esses testes podem incluir avaliações de vulnerabilidade, varreduras, análises de código, testes de continuidade, simulações, exercícios de crise e testes de recuperação. Para entidades de maior relevância, porte ou criticidade, o DORA prevê a realização de Threat-Led Penetration Testing (TLPT) — testes de penetração orientados por inteligência de ameaças que simulam cenários realistas de ataque e devem envolver sistemas, processos, pessoas e, quando aplicável, fornecedores críticos de TIC.
4. Gestão de risco de terceiros de TIC
A gestão de terceiros é um dos pilares mais relevantes do DORA. As entidades financeiras precisam manter controle sobre seus contratos de TIC, avaliar riscos de concentração, monitorar fornecedores críticos e documentar dependências relevantes.
Um dos elementos centrais é o Register of Information (RoI), um registro estruturado dos contratos e arranjos com provedores terceiros de TIC. Esse registro deve conter informações sobre entidades legais, funções suportadas, contratos, fornecedores, serviços, localização de dados, criticidade e dependências operacionais. Contratos com fornecedores de TIC devem contemplar cláusulas como descrição do serviço, níveis de serviço, localização de processamento e armazenamento de dados, direitos de auditoria, obrigações de cooperação, suporte em incidentes, planos de continuidade, condições de subcontratação e estratégias de saída.
5. Compartilhamento de informações sobre ameaças
O DORA também incentiva o compartilhamento de informações e inteligência sobre ameaças cibernéticas entre entidades financeiras. O objetivo é fortalecer a resiliência coletiva do setor, desde que sejam respeitadas regras de confidencialidade, proteção de dados e concorrência. Esse pilar reforça a importância de processos integrados de inteligência de ameaças, gestão de vulnerabilidades, resposta a incidentes e governança de segurança.
Linha do tempo do DORA
| Data | Marco |
|---|---|
| Setembro de 2020 | Proposta da Comissão Europeia como parte do pacote de finanças digitais |
| 14 de dezembro de 2022 | Adoção do Regulamento (UE) 2022/2554 |
| 27 de dezembro de 2022 | Publicação no Jornal Oficial da União Europeia |
| 16 de janeiro de 2023 | Entrada em vigor do regulamento |
| 2024 e 2025 | Publicação de normas técnicas regulatórias, normas de implementação e atos delegados |
| 17 de janeiro de 2025 | Início da aplicação obrigatória do DORA |
| 18 de novembro de 2025 | ESAs publicam a primeira lista de provedores terceiros críticos de TIC |
| 2026 | Fase de maturidade operacional, auditoria, supervisão e evolução dos programas de resiliência |
DORA e ServiceNow: onde está a conexão operacional?
O DORA não exige uma tecnologia específica. No entanto, seus requisitos têm forte aderência a capacidades operacionais normalmente implementadas na plataforma ServiceNow. Para organizações que já utilizam ServiceNow, a conformidade com o DORA pode ser tratada como uma jornada de maturidade da plataforma, com foco em dados confiáveis, processos auditáveis, automação de evidências e integração entre risco, segurança, ativos, fornecedores e operação.
| Pilar DORA | Capacidades ServiceNow |
|---|---|
| Inventário de ativos e funções críticas | CMDB, CSDM, ITAM, HAM, SAM, Service Mapping |
| Gestão de risco de TIC | IRM, Operational Risk, Policy and Compliance |
| Reporte e gestão de incidentes | ITSM, Major Incident Management, SecOps, workflows de aprovação |
| Testes de resiliência | Operational Resilience, Business Continuity, Vulnerability Response |
| Gestão de terceiros | Third-Party Risk Management, Vendor Management Workspace, Register of Information |
| Monitoramento e resposta | ITOM, Event Management, AIOps, Observability, automação de alertas |
A própria ServiceNow já disponibiliza aplicações e capacidades voltadas à resiliência operacional digital, incluindo recursos para gestão de entidades legais, funções, terceiros, contratos e geração de pacotes relacionados ao Register of Information.
Impacto para fornecedores de TIC brasileiros
Empresas brasileiras que fornecem tecnologia, software, cloud, outsourcing, suporte, data center, integrações ou serviços gerenciados para instituições financeiras europeias devem observar o DORA com atenção. Mesmo quando a empresa brasileira não está diretamente regulada por uma autoridade europeia, ela pode ser impactada por exigências contratuais do cliente financeiro europeu.
Essas exigências podem incluir cláusulas específicas de auditoria e inspeção, evidências de continuidade de negócios e recuperação de desastres, informações sobre localização de dados e subcontratados, SLAs e obrigações de suporte em incidentes, participação em testes de resiliência e TLPT, processos formais de reporte de incidentes, planos de saída e transição controlada, e documentação de controles, riscos e dependências críticas.
Assim como ocorreu com o GDPR em privacidade, o DORA tende a influenciar práticas globais de governança de tecnologia no setor financeiro. Para fornecedores brasileiros, antecipar esses requisitos pode se tornar um diferencial competitivo em contratos internacionais e em relações com clientes regulados.
DORA, NIS2, ISO 27001, COBIT e outras referências
O DORA não substitui frameworks como ISO/IEC 27001, COBIT, ITIL, NIS2 ou normas locais de segurança. Ele se sobrepõe a essas práticas e estabelece requisitos específicos para o setor financeiro europeu. Empresas com ISO/IEC 27001 já possuem uma base relevante de gestão de segurança da informação, mas o DORA exige uma camada adicional de evidência operacional, especialmente em testes de resiliência, reporte de incidentes, gestão de terceiros, continuidade e supervisão. O COBIT 2019 pode apoiar a governança de riscos e ativos de tecnologia. A ITIL contribui com processos de incidentes, mudanças, problemas, continuidade e gestão de serviços. A NIS2 possui sobreposição com o DORA em segurança e resiliência, mas o DORA é o regime específico aplicável às entidades financeiras abrangidas.
Como iniciar uma jornada de adequação ao DORA
Uma jornada prática de adequação ao DORA deve começar pela identificação das funções críticas, ativos relevantes, fornecedores de TIC e contratos associados. Sem essa base, os demais pilares ficam frágeis. Um roadmap executivo pode seguir as seguintes etapas:
- Diagnóstico de escopo: identificar entidades, serviços, funções críticas e contratos impactados.
- Mapeamento de ativos e dependências: revisar CMDB, inventário de ativos, aplicações, integrações e fornecedores.
- Avaliação de gaps: comparar processos atuais com os pilares do DORA.
- Revisão contratual: adequar cláusulas de TIC, auditoria, dados, SLAs, subcontratação e saída.
- Automação de evidências: estruturar workflows, registros, dashboards e trilhas de auditoria.
- Testes e simulações: executar exercícios de continuidade, resposta a incidentes e resiliência operacional.
- Governança contínua: estabelecer indicadores, comitês, responsáveis, ciclos de revisão e melhoria contínua.
Conclusão
O DORA representa uma mudança estrutural na forma como o setor financeiro europeu trata tecnologia, continuidade, terceiros e segurança operacional. Mais do que uma obrigação regulatória, ele cria um modelo de governança que conecta risco, operação, segurança, fornecedores e dados em uma única agenda de resiliência.
Para empresas que utilizam ServiceNow, o desafio não é apenas implementar novos controles, mas elevar a maturidade da plataforma como sistema operacional de governança digital: CMDB confiável, ativos bem classificados, incidentes rastreáveis, fornecedores controlados, riscos evidenciados e workflows auditáveis.
A 4MATT, como ServiceNow Elite Partner no Brasil com mais de 80 especialistas certificados e reconhecida com o Technology Excellence Partner Award 2024–2025, atua na implementação e evolução de capacidades como ITAM, CMDB, ITSM, SecOps, IRM e gestão de terceiros — pilares essenciais para organizações que precisam transformar conformidade regulatória em resiliência operacional mensurável.
Perguntas sobre o DORA
O que significa DORA? DORA significa Digital Operational Resilience Act. É o regulamento da União Europeia que define requisitos de resiliência operacional digital para o setor financeiro.
Quando o DORA passou a ser obrigatório? O regulamento entrou em vigor em 16 de janeiro de 2023 e passou a ser aplicável em 17 de janeiro de 2025.
Quais são os cinco pilares do DORA? Os cinco pilares são gestão de risco de TIC, reporte de incidentes, testes de resiliência operacional digital, gestão de risco de terceiros de TIC e compartilhamento de informações sobre ameaças.
O DORA se aplica a empresas brasileiras? Empresas brasileiras podem ser impactadas quando fornecem serviços de TIC para instituições financeiras europeias. O impacto normalmente ocorre por exigências contratuais impostas pelo cliente regulado na União Europeia.
O que é Register of Information no DORA? Register of Information, ou RoI, é o registro estruturado de contratos e arranjos com fornecedores terceiros de TIC. Ele reúne dados sobre entidades, funções, contratos, fornecedores, serviços, criticidade, localização e dependências.
Como ServiceNow ajuda na adequação ao DORA? ServiceNow pode apoiar a adequação ao DORA por meio de CMDB, ITAM, ITSM, SecOps, IRM, Operational Resilience, Third-Party Risk Management, Vendor Management Workspace, automação de evidências, gestão de incidentes e relatórios de conformidade.