CRA, NIS2, DORA: três normas, um único dispositivo de ciber-resiliência

A Europa construiu sua ciber-resiliência em três partes. A NIS2 mira as entidades essenciais e importantes de dezoito setores críticos: é uma diretiva, portanto exige transposição nacional, e a versão francesa ainda não saiu, a ponto de a Comissão Europeia ter levado a França ao Tribunal de Justiça em 9 de julho. A DORA mira as entidades financeiras, bancos, seguradoras, gestoras de ativos: é um regulamento, aplicável diretamente desde 17 de janeiro de 2025, supervisionado na França pela ACPR. O CRA mira os produtos: todo hardware ou software com elementos digitais colocado no mercado europeu, com um primeiro prazo vinculante em 11 de setembro de 2026 para a notificação de vulnerabilidades ativamente exploradas, e a Comissão acaba de publicar sua primeira orientação de aplicação.

Vistos de Bruxelas, são três escopos distintos. Vistos de dentro de um grupo empresarial, são as mesmas pessoas: o CISO, a equipe de conformidade, a diretoria de riscos, muitas vezes os mesmos fornecedores. Um banco que desenvolve seus próprios aplicativos se enquadra na DORA para seu dispositivo, no CRA para seus produtos, e seu grupo pode ter filiais sujeitas à NIS2. O texto, aliás, prevê essa articulação: para as entidades financeiras, a DORA prevalece sobre a NIS2, por ser um texto setorial específico. Ainda assim, é preciso saber exatamente quem, dentro do grupo, se enquadra em qual norma.

Livres do vocabulário próprio de cada uma, as três normas exigem a mesma base. Uma governança nomeada: os órgãos de diretoria são responsáveis, pessoalmente na NIS2 e na DORA, pela aprovação e pela supervisão do dispositivo. Uma gestão de riscos de TIC documentada: identificar os ativos, avaliar as ameaças, tratar as lacunas. Um processo de incidentes: detectar, classificar, notificar, extrair lições. E um controle de terceiros: a cadeia de suprimentos na NIS2, o registro de prestadores de TIC na DORA, entregue aos supervisores desde abril de 2025, a cadeia de componentes no CRA.

As diferenças reais estão nos prazos e nos canais. Um incidente grave é notificado à ANSSI sob a NIS2 (alerta prévio em até 24 horas, notificação em até 72 horas), ao supervisor financeiro sob a DORA, segundo seus próprios modelos harmonizados, e à ENISA sob o CRA para uma vulnerabilidade de produto ativamente explorada, em até 24 horas. Três formulários, três relógios, um único incidente real.

O tratamento em silos produz aqui seus efeitos mais concretos. Três projetos de conformidade geram três inventários de ativos que divergem, três mapeamentos de riscos em escalas incompatíveis, três procedimentos de notificação e ninguém sabe qual deles se aplica às duas da manhã, quando o incidente é real e os três relógios correm ao mesmo tempo.

É o teste que não perdoa: um incidente significativo em uma instituição financeira que também desenvolve software pode disparar simultaneamente uma notificação DORA ao supervisor e uma notificação CRA à ENISA, enquanto as filiais do grupo se perguntam sobre suas obrigações sob a NIS2. As organizações que já ensaiaram esse cenário com um dispositivo unificado o executam sem sobressaltos; as demais o descobrem na hora de enfrentá-lo.

A resposta metodológica é a mesma que descrevemos para o empilhamento regulatório em geral: separar a base, que se mede uma única vez, das visões regulatórias, que se desdobram por texto. Um diagnóstico de maturidade de ciber-resiliência avalia as capacidades comuns, governança, riscos, incidentes, terceiros, testes, em uma escala homogênea; cada critério é vinculado às normas às quais serve, e as três conformidades passam a ser lidas como três projeções do mesmo retrato da situação.

Esse cruzamento torna visíveis colisões úteis: um processo de incidentes unificado, com seus limiares de classificação e seu diretório de canais de notificação, faz avançar as três normas de uma só vez. Um registro de terceiros bem construído serve à DORA hoje e à cadeia de suprimentos da NIS2 amanhã. E uma linguagem de risco comum, a da ISO 27005, por exemplo, evita que cada norma reinvente sua própria escala de gravidade.

O prazo do CRA de 11 de setembro é o gatilho certo, porque está próximo, é vinculante e é operacional. Três passos, nessa ordem: esclarecer quem, dentro do grupo, se enquadra em qual norma, entidade por entidade e produto por produto. Unificar o processo de notificação, com um único procedimento interno e três canais de saída, com responsáveis nomeados e acessíveis. Depois, medir a maturidade da base e converter as lacunas em um plano de ação com prazos, priorizando o que serve às três normas ao mesmo tempo.

O cronograma não vai parar por aí: as obrigações principais do CRA chegam em dezembro de 2027, a lei francesa de Resiliência acabará sendo votada, a DORA continua aumentando as exigências sobre os testes. As organizações que pilotam esse trio a partir de um único diagnóstico vão absorver cada novo degrau. As demais vão recomeçar um projeto a cada novo prazo.