Digital Operational Resilience Act (DORA)

As entidades abrangidas devem dispor de um quadro de gestão dos riscos de TIC sólido, robusto, abrangente e bem documentado, que faz parte do seu sistema global de gestão do risco e que é revisto e auditado periodicamente. Neste aspeto, as entidades abrangidas devem de garantir:

• A configuração e estabelecimento de sistemas e ferramentas de TIC resilientes que minimizem o impacto do risco das mesmas;

• A identificação, classificação e documentação de funções e ativos críticos;

• A monitorização contínua de todas as fontes de riscos das TIC, por forma a estabelecer medidas de proteção e prevenção;

• O estabelecimento de procedimentos de deteção imediata de atividades maliciosas;

• A implementação de políticas de continuidade de negócio dedicadas e abrangentes e planos de recuperação em caso de catástrofe, incluindo testes anuais aos planos, abrangendo todas as funções de suporte; e

• O estabelecimento de mecanismos para aprender e evoluir com os eventos externos e com os incidentes das TIC da própria entidade.

As entidades abrangidas encontram-se adstritas à implementação de um processo de gestão de incidentes relacionados com as TIC e ao desenvolvimento das suas capacidades para monitorizar, lidar e acompanhar tais incidentes. Os incidentes devem ser classificados de acordo com os fatores descritos no Regulamento. Neste âmbito, as entidades devem:

• Desenvolver um processo simplificado para identificar, registar, classificar e categorizar todos os incidentes de TIC e determinar os principais incidentes de acordo com os critérios expressamente previstos no DORA e especificados pelas Autoridades Europeias de Supervisão (ESAs - EBA, EIOPA e ESMA);

• Apresentar um relatório inicial, intermédio e final sobre incidentes relacionados com as TIC;

• Harmonizar os processos de notificação de incidentes relacionados com as TIC através de modelos padronizados desenvolvidos pelas ESAs; e

• Definir planos de comunicação adequados de modo a abranger todas as partes interessadas, destinado a assegurar, nomeadamente, que os incidentes com maior gravidade relacionados com TIC sejam oportunamente encaminhados aos órgãos superiores responsáveis.

O Regulamento obriga todas as entidades abrangidas pelo mesmo a:

• Realizar um programa de testes de resiliência operacional digital proporcional e baseado em risco;

• Identificar, mitigar e eliminar quaisquer vulnerabilidades, deficiências ou lacunas através da implementação de medidas de resposta;

• Testar, numa base anual, os sistemas e aplicações críticos no domínio de TIC;

• Realizar, pelo menos, uma vez a cada três anos, testes avançados para serviços de TIC que afetem funções críticas, em particular os testes de penetração motivados por ameaças. Quando entidades terceiras prestadoras de serviços no domínio das TIC estiverem incluídas na esfera dos testes de penetração motivados por ameaças, estas são obrigadas a participar e cooperar plenamente nas atividades de teste.

As entidades abrangidas devem:

• Garantir uma sólida monitorização dos riscos decorrentes da dependência de entidades terceiras prestadoras de serviços no domínio das TIC;

• Manter um registo de informações sobre todos os acordos contratuais com entidades terceiras prestadoras de serviços no domínio das TIC, incluindo serviços intragrupo e quaisquer alterações nos serviços prestados por terceiros relativamente a serviços considerados como críticos;

• Realização de avaliações de risco de concentração no domínio das TIC previamente à celebração de novos acordos contratuais e ter em consideração os riscos decorrentes de atividades de subcontratação;

• Harmonizar os principais elementos do serviço e respetiva relação com entidades terceiras prestadoras de serviços no domínio das TIC de modo a permitir uma completa monitorização; e

• As entidades terceiras prestadoras de serviços no domínio das TIC consideradas críticas estão sujeitas às Autoridades Europeias de Supervisão, que podem emitir recomendações relativas à mitigação dos riscos de TIC identificados. As entidades abrangidas devem de considerar os riscos de TIC das entidades terceiras prestadoras de serviços no domínio das TIC que não cumpram com a recomendação emitida.

• O Regulamento permite que as entidades abrangidas estabeleçam acordos entre si para troca de informações e conhecimento relacionados com ciberameaças;
  

• A autoridade supervisora ​​fornecerá às entidades abrangidas informações confidenciais consideradas relevantes e conhecimento aprendido sobre ciberameaças. Neste sentido, as entidades abrangidas deverão implementar mecanismos de revisão e atuação sobre as informações partilhadas pelas autoridades de supervisão.