A DORA tem impacto no setor dos serviços financeiros da UE, e esta legislação está prestes a causar um grande impacto no setor financeiro. Aqui fica uma visão geral de algumas das obrigações da DORA que as instituições financeiras têm de cumprir.
O setor dos serviços financeiros tem sido, há muito, um inovador tecnológico e pioneiro. Os avanços na banca e nas finanças fizeram com que a transformação digital neste setor avançasse a passos largos. Mas as novas tecnologias e as novas formas de trabalhar atraem os cibercriminosos. O resultado é que os ataques contra o setor financeiro estão a disparar.
Em 2021, o setor bancário registou umaumento de 1 318 % nos ataques de ransomware, e 65 % das grandes organizações financeiras foram alvo de um ciberataque em 2020. A gravidade dos ciberataques cada vez mais complexos e destrutivos no setor financeiro levou à introdução de nova legislação no âmbito da regulamentação dos serviços financeiros, e chama-se DORA (Digital Operational Resilience Act).
Noções básicas sobre a DORA
A primeira versão preliminar da DORA foi publicada a 24 de setembro de 2020 e, a 10 de setembro de 2022, o Parlamento Europeu aprovou-a. A legislação vai ter um papel central no «pacote de finanças digitais», que visa promover a inovação e a concorrência no setor das finanças digitais, ao mesmo tempo que mitiga os riscos decorrentes da digitalização do setor.
Assim, o artigo 114.º do Tratado sobre o Funcionamento da União Europeia (TFUE) serve de base jurídica para a DORA; a legislação centra-se na harmonização das orientações em matéria de cibersegurança em todo o setor.
A UE gosta de recorrer a medidas regulamentares para consolidar e harmonizar as melhores práticas; o RGPD é um exemplo de regulamentação harmonizada em matéria de privacidade de dados; a DORA é a tentativa da UE de consolidar e melhorar a gestão de riscos das TIC em todo o setor financeiro, tendo a DORA impacto nas empresas de serviços financeiros da UE e nos seus fornecedores (críticos) de TIC.
A DORA vai exigir que as empresas do setor financeiro implementem medidas que as protejam contra riscos relacionados com as TIC: por isso, a DORA alarga os requisitos para incluir terceiros, como os fornecedores de serviços na nuvem.
Que obrigações é que a DORA impõe ao setor financeiro?
O objetivo é criar um ambiente resiliente em todo o ecossistema dos serviços financeiros. A estrutura subjacente da DORA assenta num conjunto de regras concebidas para ajudar as instituições financeiras a desenvolver processos robustos de gestão de risco. Alguns dos principais requisitos e do âmbito de aplicação da DORA incluem o seguinte:
Âmbito de aplicação da DORA
Quase todos os tipos de entidades financeiras vão ficar abrangidos pela DORA. As entidades abrangidas incluem instituições de crédito, instituições de pagamento, instituições de moeda eletrónica, empresas de investimento, prestadores de serviços de criptoativos, fundos de investimento alternativos, gestores de seguros, etc. A exceção são os auditores, que, neste momento, não estão sujeitos às regras da DORA, mas é provável que isso mude em futuras versões da lei. Para veres a lista completa das entidades abrangidas, consulta o artigo 2.º da DORA.
Os prestadores de serviços de TIC que prestam serviços a entidades abrangidas pela DORA também têm de cumprir a lei. Os prestadores de serviços de TIC são considerados essenciais para o setor financeiro e, como tal, estão sujeitos a regras rigorosas ao abrigo da DORA. Os prestadores de serviços de TIC críticos, com sede fora da UE, que prestam serviços a entidades financeiras na UE têm de criar uma filial na UE.
Prestadores de serviços de TIC e a DORA
A gestão de riscos de terceiros é uma parte fundamental da DORA. O foco nos fornecedores de TIC surge em resposta ao aumento dos ataques à cadeia de abastecimento, como a atualização do software Orion da SolarWinds. A Agência da União Europeia para a Cibersegurança (ENISA) relatou um aumento na sofisticação e no volume dos ataques à cadeia de abastecimento, com os atacantes a visarem a cadeia de abastecimento para roubar dados e ativos financeiros. A DORA coordena os requisitos utilizando quadros já existentes, como as Orientações sobre Externalização da Autoridade Bancária Europeia (EBA). (Vê também o artigo 14.º da DORA)
Ao abrigo da DORA, as empresas financeiras podem definir alguns prestadores de TIC como «críticos». Assim, um prestador de TIC crítico que preste serviços a uma entidade abrangida pela DORA ficará sujeito a regras rigorosas, aplicadas através de um envolvimento direto com as autoridades da UE responsáveis pelos serviços financeiros.
Principais medidas de cibersegurança
Os valores fundamentais da legislação DORA consistem em garantir a resiliência dos sistemas de TIC. Para tal, foram definidas as seguintes orientações:
Gestão de riscos e resiliência
No cerne da DORA estão as diretrizes de gestão de risco destinadas a ajudar o setor dos serviços financeiros a construir infraestruturas mais resilientes. Os programas e avaliações de gestão de risco daí resultantes servem de base para os testes de resiliência. Além disso, a legislação prevê que sejam realizadas análises de impacto nos negócios com base em cenários de «perturbação grave das atividades».
Espera-se que os testes de resiliência e vulnerabilidade sejam realizados por especialistas independentes e incluam testes de penetração regulares orientados para as ameaças. É importante referir que todos os sistemas de TIC críticos devem ser testados anualmente.
Medidas de proteção (ver também o artigo 8.º)
Entre as medidas de proteção exigidas, contam-se, por exemplo:
- Adota políticas adequadas e abrangentes para patches e atualizações.
- Implementar políticas e protocolos para mecanismos de autenticação robustos
- Segue uma abordagem baseada no risco para garantir uma gestão sólida da rede e das infraestruturas
- Implementar políticas que limitem o acesso físico e virtual aos recursos e dados dos sistemas de TIC
- Evita a fuga de informação
Gestão de incidentes de TIC
O artigo 15.º contém detalhes sobre os requisitos para gerir e controlar incidentes de segurança, incluindo procedimentos para «detetar, gerir e notificar incidentes relacionados com as TIC, devendo estabelecer indicadores de alerta precoce como avisos».
Comunicação de incidentes de cibersegurança
As entidades abrangidas têm de disponibilizar meios para monitorizar, descrever e comunicar quaisquer incidentes significativos relacionados com as TIC às autoridades competentes. As regras de comunicação são rigorosas para os prestadores de serviços de TIC críticos. Incluem a obrigação de fazer uma notificação inicial, o mais tardar até ao final do dia útil ou, se o incidente significativo tiver ocorrido menos de duas horas antes do final do dia útil, o mais tardar quatro horas após o início do dia útil seguinte.
A partir daí, é necessário apresentar um relatório intercalar o mais tardar uma semana após a notificação inicial; segue-se um relatório final, assim que a análise das causas profundas estiver concluída, o mais tardar um mês após o envio do relatório inicial.
Responsabilidade pela gestão e pela segurança
A DORA atribui a responsabilidade pelos riscos das TIC e pelas ameaças cibernéticas à equipa de gestão dos serviços financeiros. Oferecer formação em sensibilização para a segurança vai ajudar a garantir que os quadros de direção e toda a empresa tenham a segurança como prioridade.
A DORA também abrange aspetos essenciais da gestão e resposta em matéria de cibersegurança, como a partilha de informações (ver artigo 40.º).
O que se segue para a DORA?
O regulamento prevê um período de implementação de 24 meses para as entidades financeiras e os seus prestadores de serviços terceiros essenciais, a contar da data de entrada em vigor da legislação. Por isso, aconselhamos as entidades abrangidas a aproveitarem esses 24 meses entre a data de entrada em vigor da legislação e a implementação das medidas de conformidade para fazerem uma análise de lacunas: medidas como testes de penetração orientados para ameaças e regras de reporte rigorosas poderiam, de outra forma, ficar por cobrir nessa lacuna.