A quem se destina

Para o setor financeiro e seguros: DORA sob controlo, prestadores à vista

O DORA exige gestão do risco de TIC, notificações, testes de resiliência e o controlo dos seus prestadores de serviços. O Complass acompanha-o em todas as partes.

Experimentar grátis Pedir demonstração

Registo de riscos com avaliação, responsáveis e tratamento no Complass (projeto de exemplo)

O desafio

Muitos prestadores, um registo

Cada serviço de TIC pertence ao registo de informação, com contrato, função e subcontratantes. A supervisão solicita o registo anualmente.

Classificar rapidamente os incidentes

Critérios fixos determinam se um incidente de TIC é grave e sujeito a notificação. A notificação inicial segue-se em poucas horas.

Responsabilidade do órgão de administração

O órgão de administração é responsável pelo quadro de gestão do risco de TIC e tem de o aprovar, supervisionar e rever regularmente.

O que se aplica à sua empresa

O DORA aplica-se diretamente em toda a UE. Para as empresas pequenas e não interligadas existe um quadro simplificado; para a maioria das restantes, aplicam-se estas obrigações:

Referenciais: DORA · ISO 27001 · RGPD · NIS2

Quadro de gestão do risco de TIC com estratégia, políticas, proteção, deteção, resposta e recuperação, aprovado e supervisionado pelo órgão de administração Art. 5 DORA Art. 6 DORA
Registar incidentes relacionados com as TIC, classificá-los segundo critérios fixos e notificar os incidentes graves em três fases: notificação inicial, notificação intercalar e relatório final Art. 17 DORA Art. 18 DORA Art. 19 DORA
Testar regularmente a resiliência operacional digital; empresas selecionadas, adicionalmente, com testes de intrusão baseados em ameaças Art. 24 DORA Art. 26 DORA
Gerir o risco de terceiros prestadores de serviços de TIC: estratégia, registo de informação de todos os serviços de TIC e estratégias de saída Art. 28 DORA
Os contratos com prestadores de serviços de TIC têm de ter determinados conteúdos, por exemplo descrição do serviço, localizações do tratamento de dados, colaboração em incidentes, direitos de auditoria e direitos de rescisão Art. 30 DORA
As obrigações de gestão de riscos, de notificação e da direção previstas na lei alemã BSIG não se aplicam às entidades financeiras abrangidas pelo DORA; o DORA prevalece neste aspeto § 28 n.º 6 BSIG

Não tem a certeza de que referenciais se aplicam à sua empresa? Iniciar o teste «Estou abrangido?»
Custos, esforço e prazo: consultor sem a Complass, consultor com a Complass ou implementação própria com a Complass? Abrir a calculadora de custos de conformidade

Informação geral, não constitui aconselhamento jurídico. Esta página resume a situação jurídica de forma simplificada e não substitui a análise do seu caso concreto. O que faz fé é o texto das leis e das normas.

Empresas típicas

Bancos e caixas económicas Área prioritária

Instituições de crédito com TI própria ou subcontratada, com registo de informação e testes de resiliência.

Seguradoras

Empresas de seguros e de resseguros, com exceção de seguradoras muito pequenas; os intermediários apenas se forem maiores do que uma empresa de média dimensão (art. 2, n.º 3, DORA).

Instituições de pagamento e de moeda eletrónica

Serviços de pagamento com elevados requisitos de disponibilidade e de notificação de incidentes.

Empresas de investimento e sociedades gestoras de ativos

Consoante a dimensão, com quadro de gestão do risco de TIC completo ou simplificado; os pequenos gestores registados de fundos de investimento alternativos estão excluídos.

Como o Complass apoia

Aplicar o DORA de forma orientada

Fases desde a aplicabilidade até à revisão do quadro, com modelos para estratégia, políticas, programa de testes e plano de notificação e classificação.

Saber mais sobre a funcionalidade

Registo de informação e contratos

Modelo de trabalho para o registo de informação, verificação de contratos nos termos do art. 30 e plano de saída por serviço de TIC.

Riscos de TIC e gestão da continuidade de negócio

Registo de riscos com apetite pelo risco e plano de tratamento, além de análise de impacto no negócio e planos de contingência para funções críticas.

Saber mais sobre a funcionalidade

Avaliar prestadores de serviços

Classificar prestadores de serviços de TIC, solicitar e verificar autoavaliações e evidências.

Saber mais sobre a funcionalidade

Avaliação de um risco com probabilidade de ocorrência, impacto e risco residual no Complass (projeto de exemplo) — Avaliar e tratar riscos de TIC

O que precisa no mínimo como Instituições financeiras

Se o DORA se aplica à sua instituição financeira, esta seleção cobre as obrigações no Complass. A verificação de aplicabilidade gratuita mostra se é o caso.

Seleção mínima Instituições financeiras

Pacote Start, tamanho S, com Gestão da continuidade de negócio

278 € líquido por mês

DORA: Gestão do risco das TIC, notificação de incidentes graves de TIC e testes; as obrigações essenciais da lei do BSI deixam então de se aplicar. (Art. 5 e seguintes, 17 e seguintes, 24 e seguintes DORA; § 28 Abs. 6 Nr. 1 BSIG (abre num novo separador))
Cockpit de gestão: Demonstrar que o órgão de direção define, aprova e supervisiona a gestão do risco das TIC. (Art. 5 DORA (abre num novo separador))
Gestão da continuidade de negócio (BCM): Continuidade de negócio das TIC: análise de impacto no negócio, planos de emergência e exercícios, ISO 22301 incluída. (Art. 11 DORA (abre num novo separador))+ 79 €
Gestão de incidentes
Também incluído: RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base)

Teste gratuito de 14 dias Encomendar

Recomendado

Business

590 € líquido por mês

Mais impacto com Gestão de ativos e zonas e Supplier Management, capacidade para 10 utilizadores e 2 referenciais.

Experimentar Business

Outros pacotes adequados

O referencial DORA pode usá-lo hoje. Para os prestadores de serviços de TIC do setor financeiro, estamos a preparar o modelo setorial «DORA para prestadores de serviços de TIC».

Preços para empresas, líquidos acrescidos de IVA, com pagamento anual e prazo mínimo de 12 meses. Pagamento mensal com acréscimo de 15 %. Situação em 06/11/2026. Os pacotes «em breve» ainda não podem ser contratados. Enterprise e grupos empresariais mediante pedido. Todos os pacotes na vista geral de preços

Também pode cumprir as obrigações sem o Complass. O Complass apoia a implementação e a evidência e não substitui aconselhamento jurídico. Informações legais

Perguntas frequentes

Como banco, também temos de aplicar a NIS2?

Em matéria de gestão de riscos, notificações e obrigações da direção, o DORA prevalece; as disposições correspondentes da lei alemã BSIG não se aplicam às entidades financeiras abrangidas pelo âmbito do DORA (§ 28 n.º 6 BSIG). Outras disposições, por exemplo sobre o registo, não são mencionadas nesta exceção. Verifique estes pontos caso a caso.

O DORA também se aplica a instituições mais pequenas?

Sim, mas de forma proporcionada. As empresas de investimento pequenas e não interligadas e algumas outras empresas aplicam um quadro simplificado de gestão do risco de TIC (art. 16 DORA). Na Alemanha, a lei alemã do setor bancário (Kreditwesengesetz) estende ainda o DORA a outras instituições.

O Complass ajuda com o registo de informação?

Sim. O referencial DORA contém um modelo de trabalho para o registo de informação segundo as normas técnicas de execução. A apresentação à autoridade de supervisão é feita pelo respetivo canal de notificação.

Whitepapers: DORA: digital operational resilience for financial entities and their ICT providers The management body is liable: what § 38 BSIG requires from managing directors

Outros setores e funções: Prestadores de serviços de TI e MSP Cloud, hosting e centros de dados KRITIS Todos os destinatários num relance

Teste o Complass com os seus próprios dados

Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.

Experimentar grátis Pedir demonstração