À medida que nos aproximamos do fim dos últimos meses de 2024, a DORA ganha cada vez mais destaque no horizonte. A Lei de Resiliência Operacional Digital, exigida das instituições financeiras na União Europeia, entra em vigor em 17 de janeiro de 2025. Bancos, seguradoras e prestadores de serviços terceirizados de Tecnologia da Informação e Comunicação (TIC) estão entre as instituições que devem cumprir as regulamentações, criadas para garantir a resiliência cibernética.
É fundamental que todas as partes interessadas compreendam as principais disposições e o impacto que elas terão no ecossistema financeiro. Aqui está uma análise mais aprofundada dos principais componentes da DORA e o que eles significam para o setor.
1. Requisitos de gestão de riscos
A DORA estabelece requisitos rigorosos para que as entidades financeiras criem e mantenham estruturas robustas de resiliência operacional digital. Isso significa que as empresas devem dispor de políticas abrangentes para gerenciar os riscos de TIC. Essas políticas devem abranger todo o ciclo de vida dos sistemas de TIC, desde o desenvolvimento e a implantação até a manutenção e o descomissionamento. Espera-se que as entidades financeiras revisem e atualizem regularmente suas estratégias de gestão de riscos para se adaptarem a ameaças novas e emergentes.
2. Notificação de incidentes
Um dos elementos centrais da DORA é a obrigação das instituições financeiras de comunicar prontamente incidentes cibernéticos significativos às respectivas autoridades reguladoras. Essa disposição garante um fluxo de informações oportuno entre as instituições financeiras e as autoridades de supervisão financeira, o que é crucial para a gestão dos riscos sistêmicos e para o fortalecimento da resiliência global do setor financeiro. A lei especifica os tipos de incidentes que devem ser comunicados, os prazos para comunicação e as informações detalhadas que devem constar nos relatórios.
3. Testes de resiliência operacional digital
Para garantir que as entidades financeiras possam resistir de forma eficaz a interrupções nas TIC e se recuperar delas, a DORA exige a realização de testes regulares de resiliência digital. Isso inclui uma série de atividades de teste, como avaliações de vulnerabilidade, testes de penetração e exercícios baseados em cenários. Esses testes são concebidos não apenas para identificar vulnerabilidades nos sistemas e processos de TIC, mas principalmente para avaliar a eficácia das capacidades de prevenção, detecção, resposta e Recovery da entidade.
4. Gestão de riscos de terceiros
Reconhecendo a crescente dependência de prestadores terceirizados de serviços de TIC, a DORA estabelece requisitos específicos para a gestão dos riscos associados a esses prestadores externos. As entidades financeiras devem selecionar e monitorar cuidadosamente seus prestadores de serviços para garantir que cumpram elevados padrões de resiliência. Elas devem realizar uma due diligence minuciosa antes de celebrar contratos e monitorar continuamente o desempenho dos prestadores de serviços e o cumprimento das obrigações contratuais.
5. Estrutura de supervisão
A DORA estabelece um quadro de supervisão que permite às autoridades supervisoras europeias supervisionar diretamente os prestadores terceirizados de serviços de TIC de importância crítica. Esse quadro tem como objetivo obrigar os prestadores a cumprir normas rigorosas de resiliência, dada a sua importância para o setor financeiro. A supervisão inclui avaliações periódicas e, se necessário, a imposição de medidas corretivas para sanar as deficiências identificadas.
Sanções por não conformidade
O descumprimento da DORA pode resultar em sanções significativas, que são fundamentais para manter a integridade e a eficácia da lei. Essas sanções podem variar dependendo da gravidade e da natureza da infração. Elas são concebidas para terem efeito dissuasivo e serem proporcionais à solidez financeira e ao porte da entidade, bem como à magnitude dos transtornos causados pelo descumprimento.
No caso de infrações menores, as instituições financeiras podem receber advertências ou repreensões. No entanto, para violações mais graves, as penalidades podem incluir multas pesadas. Em casos de descumprimento reincidente ou de violações particularmente graves, as autoridades reguladoras têm o poder de impor sanções adicionais. Estas podem incluir o revogamento de licenças, proibições temporárias de exercer determinadas atividades comerciais ou outras restrições necessárias para proteger o sistema financeiro.
Impacto positivo na estabilidade financeira
A introdução da DORA representa um avanço significativo na busca por maior resiliência operacional digital no setor financeiro. Ao estabelecer requisitos claros para entidades financeiras e prestadores de serviços, a UE visa proteger o setor contra interrupções e ameaças relacionadas às TIC. É fundamental que todas as entidades afetadas compreendam plenamente essas disposições e se preparem adequadamente para garantir a conformidade e aprimorar suas capacidades de resiliência.
Essa abordagem abrangente não apenas aumenta a segurança das instituições individualmente, mas também reforça a estabilidade do sistema financeiro como um todo. À medida que nos aproximamos de janeiro de 2025, a expectativa em relação ao impacto da DORA continua a crescer, prometendo uma nova era de resiliência digital no setor financeiro.
Saiba mais sobre como gerenciar a conformidade com a DORA usando o Commvault Cloud aqui.
Saiba mais sobre como você pode se preparar para a Lei de Resiliência Operacional Digital em nossa série de blogs “Explorando a DORA”:
- Uma visão geral da Lei de Resiliência Operacional Digital
- 9 etapas no caminho para a conformidade
- Compreendendo o panorama regulatório global
- Criando resiliência: Estratégias de Recovery cibernética sob a DORA
- O papel da gestão de dados na conformidade regulatória
- Gerenciamento de riscos e DORA: preparando-se para o inesperado
