DORA e terceiros prestadores de TIC: o que as entidades financeiras pedem aos fornecedores

01Onde está o DORA no outono de 2026

O Regulamento DORA (abre um site externo), Regulamento (UE) 2022/2554 relativo à resiliência operacional digital do setor financeiro, aplica-se desde 17 de janeiro de 2025. Como regulamento, aplica-se diretamente em todos os Estados-Membros; a lei nacional designa sobretudo as autoridades competentes e fixa as sanções. O pormenor está nas normas técnicas adotadas pela Comissão sobre o quadro de gestão do risco de TIC, a classificação e a notificação de incidentes, o registo de informações, as políticas contratuais, a subcontratação e os testes de penetração baseados em ameaças.

Em Portugal, a Lei n.º 73/2025 (abre um site externo), de 23 de dezembro, executa o DORA na ordem jurídica nacional e designa as autoridades competentes, indicadas mais abaixo na secção «A autoridade competente».

Para as entidades financeiras, o DORA é o ato setorial que substitui as regras da NIS2 sobre gestão do risco de TIC, notificação de incidentes e supervisão. Em 18 de novembro de 2025, as três Autoridades Europeias de Supervisão (EBA, EIOPA e ESMA) publicaram (abre um site externo) a primeira lista de terceiros prestadores críticos de serviços de TIC sujeitos à sua superintendência direta.

02Entidades financeiras e os seus prestadores de TIC

O DORA abrange vinte tipos de entidade financeira, de instituições de crédito, instituições de pagamento e de moeda eletrónica e empresas de investimento a prestadores de serviços de criptoativos, plataformas de negociação, gestores de fundos, empresas de seguros, mediadores de seguros, instituições de realização de planos de pensões profissionais, agências de notação de risco e plataformas de financiamento colaborativo. A proporcionalidade está prevista: o artigo 4.º adapta os requisitos à dimensão, ao perfil de risco e à complexidade, e o artigo 16.º estabelece um quadro simplificado para algumas entidades mais pequenas.

Um terceiro prestador de serviços de TIC é qualquer empresa que presta serviços de TIC, e o DORA define estes serviços de forma ampla: serviços digitais e de dados prestados através de sistemas de TIC a utilizadores internos ou externos, de forma continuada. Alojamento, serviços geridos, software como serviço, manutenção e suporte de aplicações e serviços de dados cabem normalmente nesta definição. Os fornecedores não são supervisionados ao abrigo do DORA, salvo se forem designados como críticos, mas os clientes levam as obrigações para cada contrato.

03O órgão de administração responde pelo risco de TIC

O artigo 5.º atribui ao órgão de administração a responsabilidade última pelo risco de TIC. Cabe-lhe definir, aprovar e supervisionar o quadro de gestão do risco de TIC, fixar a estratégia de resiliência operacional digital e a tolerância ao risco, aprovar a política de continuidade das atividades e os planos de resposta e recuperação, e aprovar e rever a política de utilização de serviços de TIC prestados por terceiros. Os seus membros têm de manter os conhecimentos atualizados, incluindo através de formação regular.

04Incidentes graves: 4 horas, 72 horas, um mês

As entidades financeiras classificam os incidentes relacionados com as TIC segundo os critérios do artigo 18.º, detalhados no Regulamento Delegado (UE) 2024/1772 (abre um site externo): clientes e operações afetados, duração e tempo de inatividade, dispersão geográfica, perdas de dados, criticidade dos serviços afetados e impacto económico. Um incidente grave é notificado à autoridade competente em três passos, com os prazos fixados pelo Regulamento Delegado (UE) 2025/301 (abre um site externo):

Os clientes cujos interesses financeiros sejam afetados têm de ser informados sem demora injustificada. Uma entidade financeira pode confiar a própria notificação a um terceiro, mas continua plenamente responsável por ela (artigo 19.º, n.º 5). Em Portugal, quando uma entidade tem vários supervisores, é a autoridade de supervisão prudencial que trata a notificação de incidentes de TIC (Lei n.º 73/2025, artigo 3.º, n.º 5).

Para os fornecedores, isto é concreto. Todos os contratos de TIC têm de incluir a obrigação de o prestador dar assistência quando ocorre um incidente relacionado com o seu serviço, sem custos adicionais ou a um custo fixado previamente (artigo 30.º, n.º 2, alínea f)). A janela de quatro horas do cliente só funciona se a monitorização, os registos e os contactos do fornecedor estiverem preparados antes do incidente.

05Testes, até aos testes de penetração baseados em ameaças

O artigo 24.º exige um programa de testes baseado no risco, executado por testadores independentes, internos ou externos, com testes adequados pelo menos uma vez por ano a todos os sistemas e aplicações de TIC que suportam funções críticas ou importantes. As entidades identificadas pela autoridade competente têm ainda de realizar testes de penetração baseados em ameaças pelo menos de três em três anos, em sistemas de produção ativos, nos termos do Regulamento Delegado (UE) 2025/1190 (abre um site externo), que segue o quadro TIBER-EU.

Quando os serviços de um fornecedor estão no âmbito de um TLPT, a entidade financeira tem de garantir a participação do fornecedor (artigo 26.º, n.º 3), e os contratos relativos a funções críticas ou importantes têm de incluir essa obrigação (artigo 30.º, n.º 3, alínea d)). Se a participação do fornecedor puder prejudicar os seus outros clientes, o DORA permite testes conjuntos, em que o fornecedor contrata diretamente um testador externo em nome de várias entidades financeiras (artigo 26.º, n.º 4).

06Risco de terceiros no domínio das TIC: estratégia, registo e saída

O artigo 28.º integra o risco de terceiros no domínio das TIC no quadro de gestão do risco de TIC, e a entidade financeira continua plenamente responsável pelo cumprimento, seja o que for que subcontrate. Os deveres principais:

• Uma estratégia para o risco de terceiros no domínio das TIC, incluindo uma política relativa aos serviços de TIC que suportam funções críticas ou importantes, revista regularmente pelo órgão de administração.
• Um registo de informações sobre todos os acordos contratuais de serviços de TIC, a nível da entidade e do grupo, que distinga os acordos que suportam funções críticas ou importantes. Os modelos constam do Regulamento de Execução (UE) 2024/2956 (abre um site externo). As entidades reportam sobre o registo à autoridade competente pelo menos uma vez por ano e disponibilizam o registo completo quando lhes for pedido.
• Diligência prévia antes de assinar: se o serviço suporta uma função crítica ou importante, os riscos, incluindo o risco de concentração, a idoneidade do fornecedor e eventuais conflitos de interesses. Os fornecedores têm de aplicar normas adequadas de segurança da informação e, para funções críticas ou importantes, as mais atualizadas e de mais elevada qualidade.
• Direitos de rescisão, entre outros casos por incumprimento significativo do fornecedor, por fragilidades comprovadas na sua gestão do risco de TIC ou por circunstâncias que impeçam uma supervisão eficaz.
• Estratégias de saída para os serviços de TIC que suportam funções críticas ou importantes, documentadas e testadas, para que a entidade possa sair sem perturbar a atividade, sem limitar o cumprimento das suas obrigações e sem prejudicar os serviços aos clientes.

O que o contrato tem de dizer

O artigo 30.º fixa as cláusulas contratuais mínimas. Todos os contratos de TIC têm de ser reduzidos a escrito, num único documento que inclua os níveis de serviço, e abranger pelo menos:

• uma descrição completa das funções e dos serviços, e se, e em que condições, a subcontratação é permitida;
• os locais onde os serviços são prestados e os dados são tratados e armazenados, com aviso prévio de qualquer alteração;
• a disponibilidade, a autenticidade, a integridade e a confidencialidade dos dados, incluindo os dados pessoais;
• o acesso, a recuperação e a devolução dos dados num formato facilmente acessível em caso de insolvência, cessação da atividade ou rescisão;
• a descrição dos níveis de serviço;
• assistência em incidentes de TIC relacionados com o serviço, sem custos adicionais ou a um custo fixado previamente;
• cooperação plena com as autoridades competentes e de resolução;
• direitos de rescisão e prazos mínimos de pré-aviso;
• participação nos programas de sensibilização para a segurança das TIC e nas formações sobre resiliência operacional digital da entidade.

Para os serviços que suportam funções críticas ou importantes, o artigo 30.º, n.º 3, acrescenta objetivos de desempenho quantitativos e qualitativos precisos, deveres de aviso e de reporte, planos de contingência que o fornecedor aplica e testa, participação em TLPT, direitos ilimitados de acesso, inspeção e auditoria para a entidade e para o supervisor, e uma estratégia de saída com um período de transição obrigatório. O Regulamento Delegado (UE) 2025/532 (abre um site externo) acrescenta o que a entidade tem de avaliar quando esses serviços são subcontratados.

07Terceiros prestadores críticos de serviços de TIC

Nos termos do artigo 31.º, as Autoridades Europeias de Supervisão designam os prestadores de TIC que são críticos para o setor financeiro, com base no impacto sistémico, na importância das entidades financeiras que deles dependem, no papel que têm em funções críticas ou importantes e na facilidade com que podem ser substituídos. Cada prestador crítico tem um superintendente principal, uma das três autoridades, que pode pedir informações, realizar investigações e inspeções e emitir recomendações.

A primeira lista (abre um site externo), publicada em 18 de novembro de 2025, designou 19 prestadores, de operadores de cloud e de centros de dados a empresas de telecomunicações, de serviços de TI, de dados de mercado e de software empresarial. A designação não retira nenhum dever à entidade financeira: continua a manter o registo, as cláusulas contratuais e uma estratégia de saída para cada um destes prestadores.

08O que um prestador de TIC deve ter preparado

A maioria dos fornecedores de entidades financeiras nunca será designada como crítica, mas todos encontram o DORA através de contratos, diligência prévia e auditorias. Um fornecedor com o seguinte em ordem encurta a contratação e facilita o diálogo do cliente com o supervisor:

• Dados para o registo. O que o cliente precisa para o seu registo de informações: entidade jurídica e identificadores, os serviços prestados e as funções que suportam, os locais e os subcontratados da cadeia.
• Cláusulas alinhadas com o artigo 30.º. Idealmente, uma adenda DORA normalizada que cubra as duas listas, em vez de negociar cada cláusula de raiz.
• Evidência de incidentes. Monitorização, registos com datas e horas fiáveis e um procedimento de notificação que permita ao cliente classificar e notificar em poucas horas.
• Continuidade testada. Planos de contingência e testes de restauro, com datas e resultados.
• Segurança demonstrável. Normas de segurança da informação, controlo de acessos, um ciclo de desenvolvimento seguro e tratamento de vulnerabilidades, com evidência independente sempre que possível.
• Preparação para auditorias e testes. Uma forma praticável de receber auditorias e inspeções e de participar em TLPT, incluindo testes conjuntos quando fizer sentido.
• Um plano de saída. Devolução dos dados em formatos utilizáveis, documentação e apoio na transição durante um período acordado.

É assim que a FromNine trabalha como fornecedora de TIC de entidades financeiras: acordamos as cláusulas contratuais que o DORA exige, notificamos incidentes pelo canal acordado, documentamos planos de saída, participamos nos testes de resiliência e fornecemos a informação de que o registo do cliente precisa. A nossa página de confiança e conformidade descreve como trabalhamos, incluindo o sistema de gestão de segurança da informação certificado segundo a ISO/IEC 27001.

09Um plano prático para ambas as partes

1. 01Completar o registo. Associe cada contrato de TIC às funções que suporta e assinale as críticas ou importantes.
2. 02Fechar as lacunas contratuais. Compare cada contrato com o artigo 30.º e acorde uma adenda onde faltem cláusulas.
3. 03Alinhar a gestão de incidentes. Acorde com cada fornecedor crítico os dados para a classificação, os contactos e os prazos de notificação, e teste-os.
4. 04Planear os testes com os fornecedores. Inclua-os no programa de testes e, quando relevante, na definição do âmbito de um TLPT.
5. 05Escrever e testar estratégias de saída. Para cada função crítica ou importante: alternativas, devolução dos dados e período de transição.
6. 06Vigiar a concentração. Várias funções críticas no mesmo prestador são um risco a documentar e a gerir (artigo 29.º).

10A autoridade competente

O DORA é o mesmo texto em toda a UE, mas a supervisão da maioria das entidades financeiras é nacional: o banco central, o supervisor prudencial ou a autoridade dos mercados, consoante o tipo de entidade, e o Banco Central Europeu (BCE) no caso dos bancos significativos. O formato e o canal do registo de informações e das notificações de incidentes, bem como a autoridade responsável pelos TLPT, são definidos a nível nacional.

Em Portugal, as autoridades competentes para efeitos do Regulamento DORA são o Banco de Portugal, a Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) e a Comissão do Mercado de Valores Mobiliários (CMVM), cada uma relativamente às entidades que supervisiona (Lei n.º 73/2025, de 23 de dezembro). As três cooperam com o Centro Nacional de Cibersegurança (CNCS). Confirme as orientações da autoridade que supervisiona a sua organização.

11O que acompanhar nos próximos meses

• As prioridades de supervisão e as conclusões da autoridade competente sobre o registo de informações e a notificação de incidentes.
• A superintendência dos terceiros prestadores críticos de TIC pelos superintendentes principais, e eventuais recomendações que toquem serviços que a organização utiliza.
• A proposta Omnibus Digital (abre um site externo) da Comissão, COM(2025) 837, que faria passar as notificações de incidentes graves ao abrigo do DORA por um ponto de entrada único gerido pela ENISA. Em outubro de 2026, a proposta ainda estava em apreciação no Parlamento Europeu; até ser adotada e aplicável, mantêm-se os canais e os prazos atuais.

As organizações fora do setor financeiro têm deveres semelhantes relativos à cadeia de abastecimento ao abrigo da NIS2, que em Portugal se aplica através do Regime Jurídico da Cibersegurança; veja o nosso artigo sobre a NIS2 e os fornecedores de software. As Autoridades Europeias de Supervisão mantêm uma visão geral das normas técnicas e do quadro de superintendência nas suas páginas sobre o DORA (abre um site externo).