Em um mundo cada vez mais interconectado, nunca é demais enfatizar a importância de estruturas regulatórias robustas para aumentar a estabilidade e a segurança dos sistemas financeiros. A Lei de Resiliência Operacional Digital (DORA) da União Europeia representa um avanço regulatório significativo, voltado para o fortalecimento da resiliência operacional das entidades financeiras. Este blog explora como a DORA se compara a outras regulamentações importantes em nível global, destacando suas características únicas e as implicações mais amplas para o setor financeiro.
Entendendo a DORA
A Comissão Europeia lançou a DORA como parte do Pacote de Finanças Digitais em setembro de 2020. Seu principal objetivo é reforçar a capacidade das instituições financeiras de resistir, responder e se recuperar de todos os tipos de interrupções e ameaças relacionadas às TIC. A DORA se aplica a uma ampla gama de entidades financeiras, incluindo bancos, seguradoras, corretoras de valores mobiliários e prestadores de serviços de TIC terceirizados.
Os principais componentes da DORA incluem:
- Gestão de riscos de TIC: As entidades financeiras devem implementar estruturas abrangentes de gestão de riscos de TIC para identificar, avaliar e mitigar riscos.
- Notificação de incidentes: Notificação obrigatória de incidentes significativos relacionados às TIC às autoridades competentes.
- Testes de resiliência operacional digital: testes regulares dos sistemas de TIC para garantir a resiliência contra interrupções.
- Gestão de riscos de terceiros: maior supervisão dos prestadores de serviços de TIC terceirizados para garantir que cumpram os padrões de resiliência.
- Compartilhamento de informações: incentivo ao compartilhamento de informações entre instituições financeiras para melhorar a resiliência coletiva.
Comparando a DORA com outras regulamentações e melhores práticas do setor
1. Estrutura de Cibersegurança do NIST (Estados Unidos)
A Estrutura de Cibersegurança do Instituto Nacional de Padrões e Tecnologia (NIST) é uma estrutura voluntária que fornece diretrizes para o gerenciamento e a redução dos riscos de cibersegurança. Embora não seja uma exigência regulatória, ela é amplamente adotada pelas instituições financeiras dos Estados Unidos.
- Âmbito de aplicação: Ao contrário da DORA, que é obrigatória para as entidades financeiras da UE, a estrutura do NIST é voluntária e pode ser aplicada a qualquer setor.
- Foco: Ambos os marcos concentram-se em práticas mais amplas de gestão de riscos de segurança cibernética, sendo que a DORA dá uma ênfase significativamente maior à resiliência operacional.
- Notificação de incidentes: A DORA exige a notificação de incidentes, enquanto o NIST a incentiva, mas não a exige.
2. RGPD (União Europeia)
O Regulamento Geral sobre a Proteção de Dados (RGPD) é outro regulamento importante da União Europeia, voltado principalmente para a proteção de dados e a privacidade.
- Âmbito de aplicação: O RGPD se aplica a todas as organizações que tratam dados pessoais de cidadãos da UE, enquanto a DORA se aplica especificamente a entidades financeiras.
- Foco: O RGPD enfatiza a proteção de dados e a privacidade, enquanto a DORA concentra-se na resiliência operacional e na gestão de riscos de TIC.
- Notificação de incidentes: Ambos os regulamentos exigem a notificação de incidentes, mas o RGPD concentra-se em violações de dados pessoais, enquanto a DORA abrange uma gama mais ampla de incidentes de TIC.
3. Basileia III (Global)
Basileia III é um conjunto global de normas regulatórias internacionais desenvolvido pelo Comitê de Supervisão Bancária de Basileia para fortalecer a regulamentação, a supervisão e a gestão de riscos no setor bancário. A União Europeia está implementando o quadro regulatório de Basileia III a partir de 1º de janeiro de 2025, enquanto a implementação nos Estados Unidos e no Reino Unido provavelmente será adiada.
- Âmbito de aplicação: O Acordo de Basileia III é específico para bancos que atuam internacionalmente, enquanto a DORA se aplica a um leque mais amplo de entidades financeiras.
- Foco: O Acordo de Basileia III concentra-se na adequação de capital, nos testes de estresse e no risco de liquidez de mercado, enquanto a DORA concentra-se na gestão de riscos de TIC. Ambos abordam a resiliência operacional.
- Notificação de incidentes: o Acordo de Basileia III não exige especificamente a notificação de incidentes de TIC, ao contrário da DORA.
4. Estrutura de Resiliência Operacional da FCA (Reino Unido)
A Autoridade de Conduta Financeira do Reino Unido possui seu próprio quadro de resiliência operacional, que apresenta semelhanças com a DORA.
- Âmbito de aplicação: Ambos os marcos regulatórios se aplicam a entidades financeiras, mas o marco da FCA é específico do Reino Unido.
- Foco: Ambos os marcos enfatizam a resiliência operacional, mas a DORA tem um escopo mais amplo, incluindo a gestão de riscos de terceiros e o compartilhamento de informações.
- Notificação de incidentes: Ambos os marcos exigem a notificação de incidentes, mas a DORA apresenta requisitos mais detalhados.
Implicações para o setor financeiro
A introdução da DORA representa um passo significativo no sentido de reforçar a resiliência operacional das entidades financeiras na UE. Ao tornar obrigatória uma gestão abrangente dos riscos de TIC, a realização de testes regulares de resiliência e um sistema robusto de notificação de incidentes, a DORA visa mitigar o impacto das interrupções relacionadas às TIC no sistema financeiro.
Para as entidades financeiras que operam globalmente, o cumprimento de múltiplos marcos regulatórios pode ser um desafio. No entanto, os princípios da DORA estão alinhados com muitas regulamentações existentes e com as melhores práticas do setor, como a Estrutura de Cibersegurança do NIST e a Estrutura de Resiliência Operacional da FCA. Esse alinhamento pode facilitar uma abordagem mais integrada para a gestão de riscos de TIC e da resiliência operacional. Desde que as principais capacidades exigidas pela DORA sejam atendidas, as entidades financeiras continuam livres para utilizar modelos de gestão de riscos de TIC que sejam estruturados ou categorizados de maneira diferente.
Conclusão
A DORA estabelece um alto padrão de resiliência operacional no setor financeiro, com sua abordagem abrangente à gestão de riscos de TIC, ao relato de incidentes e à supervisão de terceiros. Embora apresente semelhanças com outras regulamentações, sua natureza obrigatória e seu amplo escopo a tornam um marco regulatório único e influente. À medida que o cenário regulatório global continua a evoluir, as instituições financeiras devem se manter informadas e se adaptar para manter a conformidade e a resiliência em um mundo cada vez mais digital.
Saiba mais sobre como você pode se preparar para a Lei de Resiliência Operacional Digital em nossa série de blogs “Explorando a DORA”:
- Uma visão geral da Lei de Resiliência Operacional Digital
- 9 etapas no caminho para a conformidade
- Compreendendo o panorama regulatório global
- Criando resiliência: estratégias de Recovery cibernética sob a DORA
- O papel da gestão de dados na conformidade regulatória
- Gerenciamento de riscos e DORA: preparando-se para o inesperado
