Desde 17 de janeiro de 2025, o DORA aplica-se a bancos, seguradoras, empresas de investimento, instituições de pagamento e a muitas outras entidades financeiras. O regulamento exige uma gestão do risco de TIC documentada, a notificação de incidentes graves, testes de resiliência e o controlo dos seus prestadores de serviços de TIC. O Complass conduz-o por todas as partes e mantém as evidências prontas para a supervisão.
Cada serviço de TIC pertence ao registo de informação, com contrato, função e subcontratantes. A supervisão solicita o registo anualmente.
Classificar rapidamente os incidentes
Critérios fixos determinam se um incidente de TIC é grave e sujeito a notificação. A notificação inicial segue-se em poucas horas.
Responsabilidade do órgão de administração
O órgão de administração é responsável pelo quadro de gestão do risco de TIC e tem de o aprovar, supervisionar e rever regularmente.
O que se aplica à sua empresa
O DORA aplica-se diretamente em toda a UE. Para as empresas pequenas e não interligadas existe um quadro simplificado; para a maioria das restantes, aplicam-se estas obrigações:
Quadro de gestão do risco de TIC com estratégia, políticas, proteção, deteção, resposta e recuperação, aprovado e supervisionado pelo órgão de administração Art. 5 DORAArticle 5 DORAGovernance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗Art. 6 DORAArticle 6 DORAICT risk management framework1. Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience. 2. The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗
Registar incidentes relacionados com as TIC, classificá-los segundo critérios fixos e notificar os incidentes graves em três fases: notificação inicial, notificação intercalar e relatório final Art. 17 DORAArticle 17 DORAICT-related incident management process1. Financial entities shall define, establish and implement an ICT-related incident management process to detect, manage and notify ICT-related incidents. 2. Financial entities shall record all ICT-related incidents and significant cyber threats. Financial entities shall establish appropriate procedures and processes to ensure a consistent and integrated monitoring, handling and follow-up of ICT-related incidents, …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗Art. 18 DORAArticle 18 DORAClassification of ICT-related incidents and cyber threats1. Financial entities shall classify ICT-related incidents and shall determine their impact based on the following criteria: - (a) the number and/or relevance of clients or financial counterparts affected and, where applicable, the amount or number of transactions affected by the ICT-related incident, and whether the ICT-related incident has caused reputational impact; - (b) the duration of the ICT-related incident, …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗Art. 19 DORAArticle 19 DORAReporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗
Testar regularmente a resiliência operacional digital; empresas selecionadas, adicionalmente, com testes de intrusão baseados em ameaças Art. 24 DORAArticle 24 DORAGeneral requirements for the performance of digital operational resilience testing1. For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗Art. 26 DORAArticle 26 DORAAdvanced testing of ICT tools, systems and processes based on TLPT1. Financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, which are identified in accordance with paragraph 8, third subparagraph, of this Article, shall carry out at least every 3 years advanced testing by means of TLPT. Based on the risk profile of the financial entity and taking into account operational circumstances, the competent authority may, …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗
Gerir o risco de terceiros prestadores de serviços de TIC: estratégia, registo de informação de todos os serviços de TIC e estratégias de saída Art. 28 DORAArticle 28 DORAGeneral principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗
Os contratos com prestadores de serviços de TIC têm de ter determinados conteúdos, por exemplo descrição do serviço, localizações do tratamento de dados, colaboração em incidentes, direitos de auditoria e direitos de rescisão Art. 30 DORAArticle 30 DORAKey contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗
As obrigações de gestão de riscos, de notificação e da direção previstas na lei alemã BSIG não se aplicam às entidades financeiras abrangidas pelo DORA; o DORA prevalece neste aspeto § 28 n.º 6 BSIG§ 28 BSIGBesonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Versão de: 26.09.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗
Informação geral, não constitui aconselhamento jurídico. Esta página resume a situação jurídica de forma simplificada e não substitui a análise do seu caso concreto. O que faz fé é o texto das leis e das normas.
Empresas típicas
Bancos e caixas económicas Área prioritária
Instituições de crédito com TI própria ou subcontratada, com registo de informação e testes de resiliência.
Seguradoras
Empresas de seguros e de resseguros, com exceção de seguradoras muito pequenas; os intermediários apenas se forem maiores do que uma empresa de média dimensão (art. 2, n.º 3, DORA).
Instituições de pagamento e de moeda eletrónica
Serviços de pagamento com elevados requisitos de disponibilidade e de notificação de incidentes.
Empresas de investimento e sociedades gestoras de ativos
Consoante a dimensão, com quadro de gestão do risco de TIC completo ou simplificado; os pequenos gestores registados de fundos de investimento alternativos estão excluídos.
Como o Complass apoia
Aplicar o DORA de forma orientada
Fases desde a aplicabilidade até à revisão do quadro, com modelos para estratégia, políticas, programa de testes e plano de notificação e classificação.
O que precisa no mínimo como Instituições financeiras
A primeira seleção cobre as obrigações no Complass, se se aplicarem a si. Se assim for, é o que mostra a verificação gratuita de aplicabilidade. Para a verificação de aplicabilidade
O que precisa no mínimo
Se o DORA se aplica à sua instituição financeira: esta seleção cobre as obrigações daí decorrentes no Complass. Está pré-selecionada ao testar ou encomendar.
Cockpit de gestão: Demonstrar que o órgão de direção define, aprova e supervisiona a gestão do risco das TIC. (Art. 5 DORA (abre num novo separador)) (incluído)
Gestão da continuidade de negócio (BCM): Continuidade de negócio das TIC: análise de impacto no negócio, planos de emergência e exercícios, ISO 22301 incluída. (Art. 11 DORA (abre num novo separador))
Gestão de incidentes: incluído
RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base): incluído
Preço da seleção mínima
Item
Preço líquido por mês
Start S
179 €
DORA
incluído
Gestão da continuidade de negócio (BCM)
79 €
RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base)
incluído
Total
258 € líquido/mês
Com pagamento anual, duração mínima de 12 meses. Pagamento mensal com um acréscimo de 15 %. Todos os preços sem IVA, atualizados a 16/10/2026.
Bom saber: Pode cumprir as obrigações também sem o Complass. O Complass apoia-o na implementação e na evidência, mas não substitui aconselhamento jurídico. Informações legais
Outros pacotes
O referencial DORA pode usá-lo hoje. Para os prestadores de serviços de TIC do setor financeiro, estamos a preparar o modelo setorial «DORA para prestadores de serviços de TIC».
disponível
referencial DORA
Gestão do risco de TIC, notificação de incidentes, testes de resiliência e risco de terceiros prestadores de serviços de TIC
Registo de informação como modelo de trabalho
Fase própria para prestadores de serviços de TIC com os requisitos dos seus clientes financeiros
a partir de 179 € por mês mais IVA no pacote Start, tamanho S, pagamento anual
Todos os preços destinam-se a empresas, não a consumidores. Entendem-se líquidos mais IVA com pagamento anual; com pagamento mensal aplica-se um acréscimo de 15 %. Atualizado em 16/10/2026. Enterprise e grupos empresariais sob consulta.
Os pacotes com a indicação «em breve» ou «em preparação» ainda não podem ser reservados. Indicaremos o preço e o âmbito assim que um pacote possa ser reservado. Os referenciais e as funções incluídos, na medida em que estejam disponíveis, mostramo-los de bom grado já agora na demonstração.
Perguntas frequentes
Como banco, também temos de aplicar a NIS2?+
Em matéria de gestão de riscos, notificações e obrigações da direção, o DORA prevalece; as disposições correspondentes da lei alemã BSIG não se aplicam às entidades financeiras abrangidas pelo âmbito do DORA (§ 28 n.º 6 BSIG). Outras disposições, por exemplo sobre o registo, não são mencionadas nesta exceção. Verifique estes pontos caso a caso.
O DORA também se aplica a instituições mais pequenas?+
Sim, mas de forma proporcionada. As empresas de investimento pequenas e não interligadas e algumas outras empresas aplicam um quadro simplificado de gestão do risco de TIC (art. 16 DORA). Na Alemanha, a lei alemã do setor bancário (Kreditwesengesetz) estende ainda o DORA a outras instituições.
O Complass ajuda com o registo de informação?+
Sim. O referencial DORA contém um modelo de trabalho para o registo de informação segundo as normas técnicas de execução. A apresentação à autoridade de supervisão é feita pelo respetivo canal de notificação.
