DORA também afeta o seu prestador de TI: registos e contratos

O DORA tem dois destinatários, ainda que no texto da lei conste apenas um. O Regulamento (UE) 2022/2554 obriga formalmente as entidades financeiras – mas as suas exigências recaem com toda a força sobre os respetivos prestadores de TI: sob a forma de catálogos de cláusulas, pedidos de informação e direitos de auditoria. Este artigo dirige-se, por isso, a ambos os lados: à entidade financeira de média dimensão, que tem de manter atualizado o seu registo de informações e reforçar os contratos com prestadores – e ao prestador de TI, que pela primeira vez tem em cima da mesa uma folha de cláusulas do art. 30.º.

Quem tem a obrigação

O DORA aplica-se desde 17 de janeiro de 2025 – e a cerca de 20 categorias de entidades financeiras: bancos e seguradoras, assim como instituições de pagamento, empresas de investimento, sociedades gestoras de fundos ou mediadores de seguros. Também as casas pequenas estão abrangidas; o regulamento prevê para isso a proporcionalidade (art. 4.º) e, para determinadas pequenas empresas, um quadro simplificado de gestão do risco (art. 16.º). «Demasiado pequeno para o DORA» não é, portanto, para a maioria dos participantes no mercado, uma autoavaliação sustentável – a questão não é se, mas com que profundidade.

Para as instituições mais pequenas, a BaFin concretizou ainda, em agosto de 2025, a sua prática administrativa quanto à proporcionalidade – com alívios, entre outros, quanto aos arts. 16.º e 28.º a 30.º e, em parte, prazos de transição até ao final de 2026 (comunicação de supervisão da BaFin de 21 de agosto de 2025). Quem quiser apoiar-se nisso deve verificar os pormenores à luz da própria casa.

O registo de informações: da estreia à rotina

O núcleo da gestão de terceiros é o registo de informações nos termos do art. 28.º, n.º 3: cada entidade financeira mantém um registo de todos os acordos contratuais com prestadores terceiros de serviços de TIC – e não apenas dos críticos. O primeiro levantamento à escala europeia já ocorreu: as autoridades nacionais de supervisão transmitiram os registos até 30 de abril de 2025 às autoridades europeias de supervisão (ESA).

Na Alemanha, também a segunda ronda já é história: a BaFin tinha fixado para a submissão a janela de 9 a 30 de março de 2026, data de referência 31 de dezembro de 2025, submetida através do portal MVP. Com isso fica claro o que o registo passa a ser daí em diante: não um exercício único, mas uma rotina anual – as autoridades nacionais transmitem os registos sempre até 31 de março às ESA. Para a próxima ronda, deve contar-se, portanto, com uma janela por volta de março de 2027, com data de referência 31 de dezembro de 2026; oficialmente, esse prazo ainda não foi anunciado.

Na prática, isso significa: o registo tem de ser mantido ao longo do ano. Novos contratos, alterações contratuais, denúncias, mudanças na cadeia de subcontratação – quem só junta tudo em fevereiro produz erros sob pressão de tempo.

Art. 30.º: o que tem de constar dos contratos

Para serviços de TIC que suportam funções críticas ou importantes, o art. 30.º, n.ºs 2 e 3, prescreve conteúdos contratuais concretos. Os mais importantes na perspetiva de ambos os lados – sendo que o apoio em incidentes e a cooperação com as autoridades (n.º 2) se aplicam a todos os contratos de TIC, e as obrigações de auditoria, saída e teste (n.º 3) adicionalmente a funções críticas ou importantes:

Direitos de auditoria, acesso e inspeção para a entidade financeira e a respetiva supervisão – até às instalações e aos sistemas do prestador.
Estratégias de saída com prazos de transição adequados, para que uma mudança de fornecedor ou uma internalização não se torne um risco operacional.
Apoio em incidentes de TIC – sem custos adicionais ou em condições previamente acordadas.
Cooperação com as autoridades competentes.
Participação em testes de penetração baseados em ameaças (TLPT).

Para o prestador de TI, a classificação é decisiva: estes pontos não são matéria de negociação inventada por um comprador especialmente atrevido – são impostos pela regulação. Quem os recusar por princípio deixa simplesmente de ser capaz de contratar com clientes financeiros. Negociáveis são, em contrapartida, as modalidades: como são anunciadas e realizadas as auditorias, que prazos de transição são realistas, como é remunerado o apoio em incidentes quando vai além da medida acordada. É precisamente aqui que a elaboração contratual profissional se separa dos reflexos defensivos.

A cadeia por trás: supervisão e subcontratados

Dois desenvolvimentos do ano de 2025 mostram que a regulação chegou, entretanto, também diretamente aos prestadores.

Em primeiro lugar, as ESA designaram a 18 de novembro de 2025 os primeiros prestadores terceiros críticos de serviços de TIC (CTPP). Estes fornecedores estão agora sob supervisão europeia direta; a lista é atualizada anualmente. Para a maioria dos prestadores, isso não muda nada de imediato – mas marca o rumo: a supervisão pensa a cadeia de fornecimento até ao fornecedor.

Em segundo lugar, está em vigor desde 22 de julho de 2025 o Regulamento Delegado (UE) 2025/532 sobre subcontratação. Segundo a leitura corrente, os prestadores devem, com isso, permitir aos seus clientes financeiros transparência sobre a subcontratação de funções críticas – quem passa partes da sua prestação a subcontratados tem de poder revelar e gerir essa cadeia. O «modelo blackbox», em que o cliente não sabe quem de facto opera, é incompatível com o DORA.

Prazos de notificação que o seu prestador também tem de cumprir

O Regulamento Delegado (UE) 2025/301 especifica os prazos de notificação de incidentes graves relacionados com as TIC:

Notificação inicial: no prazo de 4 horas após a classificação, no máximo 24 horas após a deteção.
Relatório intercalar: no prazo de 72 horas após a notificação inicial.
Relatório final: no prazo de um mês após o último relatório intercalar.

Nenhuma entidade financeira consegue cumprir sozinha estes prazos se o incidente ocorrer no prestador. O contrato tem, por isso, de assegurar o fluxo rápido de dados: caminhos de notificação definidos, contactabilidade e obrigações de informação do prestador que se encaixem nos próprios prazos de notificação. Um prestador sem monitorização contínua e sem um processo de incidentes treinado é, neste ponto, uma vulnerabilidade documentada no próprio sistema de notificação.

O que daí decorre – para ambos os lados

Para a entidade financeira: manter o registo ao longo do ano, confrontar os contratos de funções críticas com o art. 30.º, indagar sobre as cadeias de subcontratação e montar a própria gestão de prestadores como processo, em vez de um exercício anual de apagar fogos.

Para o prestador de TI: aceitar as exigências do art. 30.º e negociar profissionalmente as modalidades – ou descartar o setor financeiro como grupo de clientes. Em contrapartida, vale para a escolha do parceiro: um prestador de Managed Services que já trabalha, de qualquer forma, com monitorização 24/7, processos de incidentes definidos e prontidão para auditoria pouco precisa de se contorcer para o DORA – documenta o que já faz de qualquer forma. Um prestador para quem direitos de auditoria e planos de saída são terreno desconhecido torna-se, pelo contrário, ele próprio um risco de compliance para o seu cliente.

Como a sector7 apoia

Como prestador de TI gerido pelo proprietário, trabalhamos estruturalmente no quadro que o DORA exige aos providers: monitorização 24/7 através do nosso NOC, processos de incidentes definidos e uma prática de backup Veeam efetivamente vivida, complementados por consultoria de compliance sobre DORA, NIS-2, ISO 27001 e TISAX. A nossa competência certificada em infraestrutura (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks) cobre o lado técnico, sem o passar a cadeias pouco transparentes. Tudo isto a preços mensais fixos e previsíveis – também isso uma parte de clareza contratual no sentido do art. 30.º.

Este artigo é uma classificação técnica e não substitui aconselhamento jurídico no caso concreto.