DORA também afeta o seu prestador de TI: registros e contratos

O DORA tem dois destinatários, ainda que no texto da lei conste apenas um. O Regulamento (UE) 2022/2554 obriga formalmente as empresas financeiras – mas suas exigências recaem com toda a força sobre os prestadores de TI delas: como catálogos de cláusulas, pedidos de informação e direitos de auditoria. Este artigo dirige-se, por isso, a ambos os lados: à empresa financeira do mercado médio, que precisa manter atualizado o seu registro de informações e reforçar os contratos com prestadores – e ao prestador de TI, que pela primeira vez tem sobre a mesa uma folha de cláusulas do art. 30.

Quem tem a obrigação

O DORA vale desde 17 de janeiro de 2025 – e para cerca de 20 categorias de empresas financeiras: bancos e seguradoras, assim como instituições de pagamento, empresas de valores mobiliários, sociedades gestoras de fundos ou mediadores de seguros. Também casas pequenas estão abrangidas; o regulamento prevê para isso proporcionalidade (art. 4) e, para determinadas pequenas empresas, um quadro simplificado de gestão de risco (art. 16). „Pequeno demais para o DORA“ não é, portanto, para a maioria dos participantes do mercado, uma autoavaliação sustentável – a questão não é se, mas em que profundidade.

Para instituições menores, a BaFin concretizou ainda, em agosto de 2025, sua prática administrativa quanto à proporcionalidade – com alívios, entre outros, quanto aos arts. 16 e 28 a 30 e, em parte, prazos de transição até o fim de 2026 (comunicado de supervisão da BaFin de 21 de agosto de 2025). Quem quiser se apoiar nisso deve verificar os detalhes com olhar sobre a própria casa.

O registro de informações: da estreia à rotina

O núcleo da gestão de terceiros é o registro de informações segundo o art. 28, n.º 3: cada empresa financeira mantém um cadastro de todos os acordos contratuais com prestadores terceiros de TIC – não apenas dos críticos. O primeiro levantamento em toda a Europa já ocorreu: as autoridades nacionais de supervisão encaminharam os registros até 30 de abril de 2025 às autoridades europeias de supervisão (ESAs).

Na Alemanha, também a segunda rodada já é história: a BaFin havia fixado para a submissão a janela de 9 a 30 de março de 2026, data de referência 31 de dezembro de 2025, submetida pelo portal MVP. Com isso fica claro o que o registro será dali em diante: não um exercício único, mas uma rotina anual – as autoridades nacionais encaminham os registros sempre até 31 de março às ESAs. Para a próxima rodada, deve-se contar, portanto, com uma janela em torno de março de 2027 com data de referência 31 de dezembro de 2026; oficialmente, esse prazo ainda não foi anunciado.

Na prática, isso significa: o registro deve ser mantido ao longo do ano. Novos contratos, alterações contratuais, rescisões, mudanças na cadeia de subcontratação – quem só junta tudo em fevereiro produz erros sob pressão de tempo.

Art. 30: o que deve constar dos contratos

Para serviços de TIC que suportam funções críticas ou importantes, o art. 30, n.ºs 2 e 3, prescreve conteúdos contratuais concretos. Os mais importantes na perspectiva de ambos os lados – sendo que o apoio em incidentes e a cooperação com autoridades (n.º 2) valem para todos os contratos de TIC, e as obrigações de auditoria, saída e teste (n.º 3) adicionalmente para funções críticas ou importantes:

Direitos de auditoria, acesso e inspeção para a empresa financeira e sua supervisão – até as instalações e os sistemas do prestador.
Estratégias de saída com prazos de transição adequados, para que uma troca de fornecedor ou uma internalização não se torne um risco operacional.
Apoio em incidentes de TIC – sem custos adicionais ou em condições previamente acordadas.
Cooperação com as autoridades competentes.
Participação em testes de penetração baseados em ameaças (TLPT).

Para o prestador de TI, a classificação é decisiva: esses pontos não são matéria de negociação que um comprador especialmente atrevido inventou – são impostos pela regulação. Quem os recusar por princípio simplesmente deixa de ser capaz de contratar com clientes financeiros. Negociáveis são, em contrapartida, as modalidades: como as auditorias são anunciadas e realizadas, quais prazos de transição são realistas, como o apoio em incidentes é remunerado quando vai além da medida acordada. É justamente aqui que a elaboração contratual profissional se separa dos reflexos de defesa.

A cadeia por trás: supervisão e subcontratados

Dois desenvolvimentos do ano de 2025 mostram que a regulação chegou, entretanto, também diretamente aos prestadores.

Em primeiro lugar, as ESAs designaram em 18 de novembro de 2025 os primeiros prestadores terceiros críticos de TIC (CTPPs). Esses fornecedores estão agora sob supervisão europeia direta; a lista é atualizada anualmente. Para a maioria dos prestadores, isso não muda nada imediatamente – mas marca o rumo: a supervisão pensa a cadeia de fornecimento até o fornecedor.

Em segundo lugar, está em vigor desde 22 de julho de 2025 o Regulamento Delegado (UE) 2025/532 sobre subcontratação. Segundo a leitura corrente, os prestadores devem, com isso, permitir aos seus clientes financeiros transparência sobre a subcontratação de funções críticas – quem repassa partes de sua prestação a subcontratados deve poder revelar e gerir essa cadeia. O „modelo blackbox“, em que o cliente não sabe quem de fato opera, é incompatível com o DORA.

Prazos de notificação que o seu prestador precisa cumprir junto

O Regulamento Delegado (UE) 2025/301 precisa os prazos de notificação para incidentes graves de TIC:

Notificação inicial: em até 4 horas após a classificação, no máximo 24 horas após a descoberta.
Relatório intermediário: em até 72 horas após a notificação inicial.
Relatório final: em até um mês após o último relatório intermediário.

Esses prazos nenhuma empresa financeira consegue cumprir sozinha se o incidente ocorrer no prestador. O contrato deve, por isso, assegurar o fluxo rápido de dados: caminhos de notificação definidos, disponibilidades e obrigações de informação do prestador que se encaixem nos próprios prazos de notificação. Um prestador sem monitoramento contínuo e sem processo de incidentes treinado é, nesse ponto, uma vulnerabilidade documentada no próprio sistema de notificação.

O que decorre disso – para ambos os lados

Para a empresa financeira: manter o registro ao longo do ano, cotejar os contratos de funções críticas contra o art. 30, indagar sobre as cadeias de subcontratação e montar a própria gestão de prestadores como processo em vez de exercício anual de bombeiro.

Para o prestador de TI: aceitar as exigências do art. 30 e negociar as modalidades profissionalmente – ou descartar o setor financeiro como grupo de clientes. Em contrapartida, vale para a escolha do parceiro: um prestador de Managed Services que já trabalha de qualquer forma com monitoramento 24/7, processos de incidentes definidos e prontidão para auditoria pouco precisa se contorcer para o DORA – ele documenta o que já faz de qualquer forma. Um prestador para quem direitos de auditoria e planos de saída são terreno desconhecido torna-se, ao contrário, ele próprio um risco de compliance para o seu cliente.

Como a sector7 apoia

Como prestador de TI de gestão própria, trabalhamos estruturalmente no quadro que o DORA exige dos providers: monitoramento 24/7 pelo nosso NOC, processos de incidentes definidos e uma prática de backup Veeam efetivamente vivida, complementados por consultoria de compliance sobre DORA, NIS-2, ISO 27001 e TISAX. Nossa expertise certificada em infraestrutura (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks) cobre o lado técnico, sem repassá-lo a cadeias intransparentes. Tudo isso a preços mensais fixos e planejáveis – também isso um pedaço de clareza contratual no sentido do art. 30.

Este artigo é uma classificação técnica e não substitui aconselhamento jurídico no caso concreto.