Conformidade com a DORA: um guia prático

Em uma pesquisa de julho de 2025, 96% das organizações de serviços financeiros da EMEA disseram que precisavam melhorar sua resiliência para atender aos requisitos da DORA ^[1]. A regulamentação está em vigor desde janeiro de 2025, portanto qualquer lacuna agora é um risco real de conformidade que a próxima auditoria ou ataque irá expor.

Este guia de conformidade com a DORA aborda o que a DORA exige, a quem se aplica, os custos da não conformidade e o elo fraco da cadeia de conformidade que a maioria das organizações subestima: a recuperabilidade, a capacidade de restaurar dados após um ataque.

Principais conclusões

• A DORA é o Regulamento (UE) 2022/2554. Ela se aplica a mais de 22.000 entidades financeiras e seus provedores de TIC desde 17 de janeiro de 2025.

• Conformidade com a DORA significa agir sobre cinco requisitos: gestão de risco de TIC, reporte de incidentes, testes de resiliência, gestão de risco de terceiros e compartilhamento de informações.

• As penalidades são definidas por cada Estado-Membro da UE. Os tetos chegam a até €20 milhões ou uma parcela fixa do faturamento, além de censura pública e proibições de gestão.

• O Artigo 12 é o artigo específico de backup. Ele exige sistemas de recuperação testados, segregados e protegidos contra adulteração.

O que é conformidade com a DORA?

DORA significa Digital Operational Resilience Act. É um regulamento introduzido pela União Europeia para fortalecer a resiliência digital das entidades financeiras.

Ele entrou em vigor em 17 de janeiro de 2025 e garante que bancos, seguradoras, empresas de investimento e outras entidades financeiras consigam suportar, responder e se recuperar de interrupções de TIC (Tecnologia da Informação e Comunicação), como ciberataques ou falhas de sistema ^[2].

Conformidade com a DORA significa cumprir as obrigações estabelecidas no regulamento, oficialmente conhecido como Regulamento (UE) 2022/2554.

O motivo de sua existência é direto. As empresas financeiras passaram a depender cada vez mais de sistemas digitais para prestar serviços, gerenciar operações e processar transações. Essa dependência crescente criou novos riscos operacionais e de cibersegurança. Os ataques de ransomware ao setor financeiro dispararam, e uma falha grave em uma empresa agora pode se espalhar para outras e ameaçar a estabilidade de todo o mercado.

A DORA trata uma falha de TIC como um risco à estabilidade financeira, de forma semelhante a como os reguladores tradicionalmente enxergam riscos como insuficiência de capital. Isso torna a construção de verdadeira resiliência cibernética um dever regulatório, não uma boa prática.

Quem deve cumprir a DORA?

A DORA se aplica a mais de 22.000 entidades financeiras em toda a UE, bem como aos provedores terceirizados de TIC que as atendem ^[3].

O regulamento nomeia 20 tipos diferentes de entidades financeiras ^[2], que se enquadram em cinco grandes grupos:

• Bancos e pagamentos: instituições de crédito, instituições de pagamento, instituições de moeda eletrônica e provedores de serviços de informação de contas.

• Mercados de capitais: plataformas de negociação, empresas de investimento, repositórios de transações, contrapartes centrais (CCPs) e depositários centrais de valores mobiliários.

• Gestão de ativos: gestores de fundos de investimento alternativos e sociedades gestoras de UCITS.

• Seguros e previdência: intermediários de seguros, empresas de seguros e resseguros e instituições de previdência ocupacional.

• Outras entidades reguladas: agências de classificação de risco, repositórios de securitização, administradores de benchmarks, provedores de serviços de criptoativos, provedores de serviços de crowdfunding e provedores de serviços de reporte de dados.

A DORA também se estende aos fornecedores de tecnologia por trás dessas empresas. Qualquer provedor terceirizado de TIC que atenda uma entidade financeira no escopo está sujeito ao regulamento, incluindo provedores sediados fora da UE.

Isso significa, por exemplo, que uma plataforma de nuvem, um provedor de serviços gerenciados ou um fornecedor de software não pode evitar a DORA simplesmente porque sua sede fica em outro lugar.

Os cinco requisitos de conformidade com a DORA

Saber como cumprir a DORA se resume a cinco requisitos: gestão de riscos, reporte de incidentes, testes de resiliência, supervisão de terceiros e compartilhamento de informações.

Ficar aquém em qualquer um deles deixa uma organização em não conformidade.

1. Gestão de risco de TIC

Esta é a base. Entidades financeiras precisam de uma estrutura documentada de gestão de risco de TIC que cubra todo o ciclo de vida do risco: identificação, proteção, detecção, resposta e recuperação. A responsabilidade deve estar no nível da alta administração, com o órgão de gestão responsável por aprová-la e supervisioná-la.

A estrutura também precisa definir uma tolerância a risco clara, ou seja, a interrupção máxima que uma função crítica pode absorver antes que o dano se torne inaceitável. Esses requisitos de cibersegurança da DORA tornam a gestão de riscos uma responsabilidade do conselho.

2. Reporte de incidentes de TIC

Quando um incidente grave ocorre, os reguladores querem saber rapidamente. A DORA exige que as organizações implementem um sistema de classificação de severidade e um fluxo de reporte que escale um incidente significativo à autoridade competente sem demora indevida.

Na prática, isso significa três etapas: um alerta inicial em até 24 horas após classificar o incidente, uma atualização de status em até 72 horas e um relatório final de causa raiz cerca de um mês após a resolução do incidente ^[5]. O objetivo é um relato claro e consistente do que aconteceu e por quê.

3. Testes de resiliência operacional digital

Toda entidade no escopo deve testar regularmente sua resiliência. As entidades maiores e mais críticas devem ir além e executar Testes de Intrusão Orientados por Ameaças (TLPT), que consistem em ataques simulados ao vivo conduzidos por testadores independentes e certificados em um ciclo de três anos.

Um plano de continuidade de negócios pode parecer ótimo no papel e ainda assim desmoronar na primeira vez em que for usado. Testar é a única forma de saber se ele realmente vai se sustentar, antes que atacantes forcem a resposta.

4. Gestão de risco de TIC de terceiros

Uma entidade financeira é tão resiliente quanto os fornecedores dos quais depende. A DORA exige que as empresas avaliem, monitorem e mantenham alavancagem contratual sobre cada provedor de TIC, e que mantenham um Registro de Informações ativo cobrindo todos eles.

Provedores de TIC cujos serviços são amplamente usados em todo o setor financeiro e que seriam difíceis de substituir podem ser designados como críticos. Esses provedores respondem diretamente aos reguladores da UE, sob uma Estrutura de Supervisão dedicada com penalidades próprias.

5. Compartilhamento de informações

Este é o único requisito voluntário. A DORA incentiva entidades financeiras a trocar inteligência sobre ameaças cibernéticas em comunidades confiáveis, para que o setor aprenda coletivamente com cada ataque, em vez de uma vítima por vez.

Penalidades da DORA por não conformidade

A DORA não define uma multa única para toda a UE. Cada Estado-Membro estabelece suas próprias penalidades máximas sob o Artigo 50, o que significa que a multa potencial depende de onde uma entidade opera ^[4].

As penalidades têm como alvo dois grupos: entidades financeiras e seus provedores de TIC mais críticos. Em ambos os casos, as consequências vão além de multas e podem incluir penalidades regulatórias e reputacionais significativas.

• Entidades financeiras: Reguladores nacionais definem tetos que variam amplamente. Limites absolutos chegam a €20 milhões na Itália, enquanto limites baseados em faturamento variam de 5% na Espanha a 10% na Suécia ^[4].

• Provedores terceirizados críticos de TIC: O Supervisor Líder da UE pode impor pagamentos periódicos de penalidade de até 1% do faturamento médio diário mundial do provedor, por cada dia de não conformidade, por até seis meses ^[5].

• Além das multas: Reguladores podem emitir comunicados públicos nomeando a parte responsável, ordenar que uma empresa interrompa uma conduta específica, proibir indivíduos de exercer funções de gestão ou suspender uma licença.

A fiscalização opera em dois níveis. Autoridades competentes nacionais, como a BaFin na Alemanha ou o Banco Central da Irlanda, supervisionam as entidades financeiras.

Uma das três Autoridades Europeias de Supervisão (EBA, ESMA ou EIOPA) atua como Supervisor Líder para cada provedor crítico de TIC.

Comprovar resiliência por meio de backup e recuperação

Passar em uma auditoria no papel não é o mesmo que demonstrar, de forma comprovável, a capacidade de recuperar dados após um ataque.

Criminosos cibernéticos geralmente miram primeiro os sistemas de backup, especificamente porque sabem que as organizações dependem deles para a recuperação. Corromper ou excluir backups, portanto, dá aos atacantes mais poder de barganha durante tentativas de extorsão. Não surpreende que, entre organizações atingidas por ransomware, 94% relataram tentativas de comprometer seus dados de backup, e 57% disseram que essas tentativas tiveram sucesso ^[6].

A implantação de armazenamento backup imutável verificavelmente e recuperação rápida garantem que uma organização consiga demonstrar resiliência aos reguladores, e não apenas apresentar um documento de política.

Essa abordagem para proteger dados de backup está totalmente alinhada à intenção da DORA e aos seus requisitos concretos: restaurações testadas que atendam aos Objetivos de Tempo e de Ponto de Recuperação (RTO e RPO) em condições reais, e uma trilha de evidências que um auditor possa seguir.

Essa comprovação se conecta a dois dos cinco requisitos principais da DORA: gestão de risco de TIC, que exige capacidade de recuperação planejada, e testes de resiliência, que exigem que você prove que ela funciona.

Uma solução de armazenamento backup imutável com recuperação rápida deve ser a espinha dorsal do plano de recuperação de uma organização. Isso é Resiliência de dados na prática.

 O que o Artigo 12 da DORA exige para backups?

O Artigo 12 traduz os princípios de resiliência da DORA em requisitos específicos de backup e recuperação.

Ele estabelece quatro obrigações concretas:

• Uma política de backup documentada, definindo quais dados são copiados e com que frequência, com base no nível de criticidade ou confidencialidade desses dados.

• Procedimentos documentados de restauração e recuperação.

• Testes periódicos desses procedimentos de backup e recuperação. A ativação de um backup jamais pode comprometer a segurança, a disponibilidade, a autenticidade, a integridade ou a confidencialidade dos dados.

• Ao restaurar, os sistemas utilizados devem ser segregados física e logicamente do sistema de origem e protegidos contra acesso não autorizado ou corrupção.

Vale a pena ler as próprias palavras do regulamento:

"As entidades financeiras devem implementar sistemas de backup que possam ser ativados de acordo com as políticas e procedimentos de backup ... Os testes dos procedimentos de backup e dos procedimentos e métodos de restauração e recuperação devem ser realizados periodicamente ... Ao restaurar dados de backup usando sistemas próprios, as entidades financeiras devem utilizar sistemas de TIC que sejam segregados física e logicamente do sistema de TIC de origem." ^[5]

A conformidade pode ser alcançada mantendo backups imutáveis, o que significa que, durante uma janela de tempo predefinida, um backup não pode ser alterado nem excluído. Ainda assim, é preciso cuidado, porque muitos sistemas que afirmam oferecer backups imutáveis têm exceções e brechas ocultas.

Uma solução para isso é a Imutabilidade Absoluta, que significa que nem mesmo o administrador mais privilegiado, ou um invasor com acesso ao armazenamento de backup, consegue modificar ou excluir dados. Esse nível de proteção só pode ser alcançado com um sistema de armazenamento de backup que seja Seguro-by-Design, com Zero Access para executar ações destrutivas, e esse Zero Access deve ser verificável por meio de testes de terceiros.

O modelo Zero Access é complementado pela regra de backup 3-2-1-1-0: pelo menos três cópias dos dados em dois tipos diferentes de mídia, com uma cópia armazenada fora do local e pelo menos uma mantida offline ou imutável para evitar adulteração. O zero final significa zero erros de restauração, verificados por meio dos testes regulares que a DORA exige para garantir que as metas de RTO e RPO sejam mantidas, mesmo em cenários extremos.

Armazenamento de backup em conformidade com a DORA: como a Object First ajuda

Para se alinhar totalmente aos requisitos do Artigo 12 da DORA, o armazenamento de backup deve ser à prova de adulteração, testado e rapidamente recuperável. É aqui que a Object First entra.

A Object First oferece armazenamento de backup seguro, simples e poderoso, desenvolvido especificamente para Veeam. Ela conta com Imutabilidade Absoluta, aplicada por meio de Zero Access a ações destrutivas: isso significa que nem mesmo o administrador mais privilegiado ou um invasor com acesso ao armazenamento de backup consegue modificar ou excluir dados. Isso foi verificado por testes independentes de terceiros.

O resultado é uma cópia de recuperação testada e à prova de adulteração, da qual uma entidade financeira pode restaurar rapidamente — e uma prova de resiliência que pode ser apresentada aos reguladores.

Baixe nosso guia sobre o Digital Operational Resilience Act (DORA) e saiba como backups absolutamente imutáveis podem garantir a resiliência operacional e, por extensão, a conformidade regulatória.

Perguntas frequentes

DORA vs NIS2: qual é a diferença?

A NIS2 estabelece regras amplas de cibersegurança em diversos setores. A DORA é específica do setor financeiro e tem precedência para entidades financeiras sempre que houver sobreposição entre as duas, um princípio jurídico conhecido como lex specialis.

Uma organização abrangida pela DORA não precisa cumprir a NIS2 para as mesmas obrigações de cibersegurança e de notificação de incidentes. Para a diretiva mais ampla, use nossa lista de verificação de conformidade com a NIS2.

Quais são os requisitos de cibersegurança para conformidade com a DORA?

Os requisitos de cibersegurança da DORA estão dentro do seu arcabouço de gestão de risco de TIC. Três artigos concentram a maior parte do conteúdo técnico:

• Artigo 9 (proteção e prevenção): abrange segurança de rede, criptografia, gestão de acesso e aplicação de patches.

• Artigo 10 (detecção): exige monitoramento contínuo para identificar rapidamente atividades anômalas e potenciais incidentes.

• Artigo 12 (backup, restauração e recuperação): estabelece os requisitos mais detalhados da DORA para resiliência de backup, incluindo testes de recuperação, segregação de ambientes de recuperação e proteção contra adulteração..

Em conjunto, eles definem como a conformidade com a DORA em cibersegurança se materializa na prática.

Qual é o prazo de conformidade com a DORA?

A DORA está em vigor desde 17 de janeiro de 2025, portanto o prazo já passou. O foco em 2025 foi, em grande parte, a implementação. Em 2026, os reguladores estão cada vez mais testando se as empresas conseguem demonstrar as capacidades de resiliência que a DORA exige.

Quais instituições supervisionam a DORA?

As Autoridades Nacionais Competentes (NCAs) em cada Estado-membro supervisionam as entidades financeiras individuais no dia a dia.

Acima delas, as três Autoridades Europeias de Supervisão (EBA, ESMA e EIOPA) desenvolveram as normas técnicas da DORA e supervisionam diretamente provedores terceiros críticos de TIC por meio do Arcabouço de Supervisão, com uma autoridade atuando como Supervisora Líder para cada provedor.

Referências

[1] Veeam Software / Censuswide. "96% of EMEA Financial Services Organizations Believe They Need to Improve Their Resilience to Meet DORA Requirements." 2025. https://www.veeam.com/company/press-release/96-percent-of-emea-financial-services-organizations-believe-they-need-to-improve-their-resilience-to-meet-dora-requirements.html 

[2] EIOPA. "Digital Operational Resilience Act (DORA)." https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en 

[3] LRQA. "DORA Compliance." https://www.lrqa.com/en-gb/dora-compliance/ 

[4] DLA Piper. "Divergence in administrative penalties under DORA." 2025. https://www.dlapiper.com/en-us/insights/publications/2025/10/divergence-in-administrative-penalties-under-dora 

[5] Regulation (EU) 2022/2554 (Digital Operational Resilience Act), EUR-Lex. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022R2554 

[6] Sophos. "The State of Ransomware 2025." 2025. https://www.sophos.com/en-us/blog/the-state-of-ransomware-2025 

[7] Veeam. "2025 Ransomware Trends Report." 2025. https://www.veeam.com/blog/ransomware-trends.html