Maturidade DORA · Resiliência operacional digital dos serviços financeiros
Sua resiliência operacional digital, medida artigo por artigo e traduzida em plano de ação com custos definidos.
10 temas, 108 perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade DORA · Resiliência operacional digital dos serviços financeiros
10 temas, 108 perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Regulamento (UE) 2022/2554 (DORA), em vigor desde 17 de janeiro de 2025 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que liga os dois) que transforma uma constatação em trajetória.
As estratégias de saída dos prestadores de TIC que sustentam funções críticas ou importantes estão definidas e testadas?
- N1
Nenhuma estratégia de saída está formalizada. A questão só surgiria no momento em que um prestador encerrasse o serviço.
- N2
Cláusulas de reversibilidade existem em alguns contratos, sem plano de saída associado nem cenário de migração identificado.
- N3
Uma estratégia de saída está documentada para cada prestador que sustenta uma função crítica: solução substituta, dados a recuperar, duração estimada da transição.
- N4
As estratégias de saída são revisadas a cada renovação contratual e vinculadas ao registro de informações. Os prazos de migração são verificados com a área de negócio envolvida.
- N5
Os cenários de saída são testados em exercícios, inclusive para casos de rescisão não planejada, e os aprendizados alimentam a revisão dos contratos e da estrutura de gestão de risco de TIC.
Ação para passar de N2 a N3
Para cada prestador de TIC que sustenta uma função crítica ou importante identificada no registro de informações, elaborar uma ficha de saída detalhando a solução substituta, os dados e formatos a recuperar e a duração estimada da transição, e submetê-la para validação da área de negócio proprietária no comitê de riscos de TIC do trimestre.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem DORA.
Do que trata esse referencial
O DORA, Regulamento (UE) 2022/2554 sobre resiliência operacional digital do setor financeiro, está em vigor desde 17 de janeiro de 2025. Ele abrange um escopo amplo: instituições de crédito, empresas de investimento, seguradoras, gestoras de ativos, prestadores de serviços de criptoativos, infraestruturas de mercado e os prestadores terceiros de serviços de TIC designados como críticos. Cinco pilares estruturam o texto: uma estrutura de gestão de risco de TIC sob responsabilidade da diretoria, a gestão e notificação de incidentes graves, os testes de resiliência digital, a gestão de risco de prestadores terceiros e o compartilhamento de informações sobre ciberameaças.
A dificuldade não está em entender o texto, mas em saber onde realmente se está. O registro de informações sobre acordos contratuais está atualizado a cada aditivo, ou é reconstituído uma vez por ano para o prazo de entrega? Os prazos de notificação de um incidente grave são viáveis numa sexta-feira à noite, com as pessoas que de fato estão de plantão? As estratégias de saída dos prestadores críticos estão documentadas e testadas, ou existem apenas como cláusula contratual? Essas perguntas não se resolvem com um status de conformidade binário.
Uma confusão é recorrente: o DORA é um regulamento, não uma diretiva, e não é passível de certificação. Não existe um selo DORA. O controle passa pelas autoridades competentes nacionais e europeias, pela entrega do registro de informações, pela notificação de incidentes e, para as entidades designadas, pelos testes de penetração baseados em ameaças do tipo TLPT. Outro ponto a esclarecer: o DORA prevalece sobre a NIS 2 para as entidades financeiras cobertas, mas as estruturas de governança e gestão de riscos subjacentes permanecem em grande parte comuns. Para quem exporta serviços de TIC para o mercado europeu, é esse regulamento que seus clientes financeiros vão exigir como prova de conformidade, não a legislação do seu próprio país.
A auditoria de conformidade conclui por uma lacuna ou uma conformidade em relação a uma exigência específica. O diagnóstico de maturidade responde a outra pergunta: em que nível de domínio se encontra a prática, e qual ação precisa faz passar para o nível seguinte. No caso do DORA, essa distinção é decisiva, pois a maioria das organizações possui os documentos esperados sem ter a repetibilidade, a rastreabilidade e o monitoramento que o regulador vai observar numa fiscalização ou após um incidente real.
No Datamensio, o referencial DORA está pronto para uso e é adaptável. A IA ajusta os temas, as perguntas e os níveis ao seu status regulatório e ao seu porte, aplicando o princípio de proporcionalidade previsto no texto, ou constrói uma versão personalizada a partir dos seus próprios documentos: política de gestão de risco de TIC, registro de informações, planos de continuidade.
Norma de referência: Regulamento (UE) 2022/2554 (DORA), em vigor desde 17 de janeiro de 2025
Os temas avaliados
Governança e responsabilidade da diretoria
Aprovação e revisão da estrutura de gestão de risco de TIC, papéis e responsabilidades, alocação de orçamento, capacitação dos dirigentes, articulação com as funções de controle.
Estrutura de gestão de risco de TIC
Políticas e procedimentos documentados, tolerância ao risco de interrupção digital, revisão anual, incorporação dos aprendizados de incidentes e testes.
Mapeamento de ativos e funções críticas
Inventário de ativos de TIC, identificação de funções críticas ou importantes, dependências internas e externas, classificação das informações, atualização contínua.
Proteção e prevenção
Gestão de identidades e acessos, criptografia, segurança de redes, gestão de mudanças e correções, segurança no desenvolvimento.
Detecção e monitoramento
Mecanismos de detecção de atividades anômalas, limiares de alerta, cobertura do monitoramento, recursos dedicados, revisão do desempenho dos dispositivos.
Continuidade, recuperação e backups
Política de continuidade das atividades de TIC, objetivos de tempo e ponto de recuperação, sites de contingência, política de backup e restauração, exercícios documentados.
Gestão e notificação de incidentes
Processo de detecção e classificação, critérios de gravidade, prazos de notificação inicial, intermediária e final, canais com a autoridade competente, informação aos clientes.
Testes de resiliência operacional digital
Programa anual de testes, análises de vulnerabilidade, testes de compatibilidade e desempenho, testes baseados em ameaças do tipo TLPT, tratamento das constatações.
Gestão de risco de prestadores terceiros
Política relativa a prestadores de TIC, análise prévia, cláusulas contratuais obrigatórias, concentração, subcontratação em cadeia, direitos de auditoria e acesso.
Registro de informações e entrega às autoridades
Completude do registro de acordos contratuais, qualidade dos dados, processo de atualização, preparação para entregas e solicitações das autoridades.
Uma versão curta do referencial, com 40 perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e 108 perguntas.
Perguntas frequentes
É possível ser certificado em DORA?
Não. O DORA é um regulamento europeu de aplicação direta, não existe certificação associada a ele. O controle é feito pelas autoridades competentes, por meio do registro de informações, das notificações de incidentes e, para as entidades envolvidas, dos testes baseados em ameaças. O diagnóstico de maturidade mede suas práticas e prepara você para esses marcos, mas não emite nenhum atestado.
Qual a diferença entre esse diagnóstico e uma auditoria de conformidade DORA?
A auditoria verifica a presença de uma exigência e conclui por uma lacuna ou uma conformidade. O diagnóstico posiciona cada prática numa escala de maturidade de cinco níveis e indica a ação que leva ao nível seguinte. Os dois se complementam: o diagnóstico constrói a trajetória, a auditoria valida o estágio alcançado.
Quanto tempo leva a avaliação?
A versão curta é preenchida em 20 a 30 minutos. A versão completa, em modo colaborativo, envolve vários contribuintes: segurança, compras, continuidade, conformidade. A maior parte do tempo é dedicada à coleta junto a essas equipes, não ao preenchimento em si.
O referencial é adaptável ao nosso status e porte?
Sim. O DORA aplica um princípio de proporcionalidade, e o referencial segue a mesma lógica: você pode modificar as perguntas, os níveis e os temas, ou deixar que a IA produza uma versão adaptada ao seu status regulatório a partir dos seus documentos. O controle do referencial é seu.
Como articular o DORA com a NIS 2 e a ISO 27001?
O DORA prevalece sobre a NIS 2 para as entidades financeiras cobertas, mas as exigências de governança, gestão de riscos e tratamento de incidentes se baseiam em princípios convergentes com a ISO 27001 e a ISO 27005. Os roteiros transversais do Datamensio consolidam vários diagnósticos e agrupam as ações comuns em vez de duplicá-las.
O diagnóstico cobre nossos prestadores de TI?
O pilar dedicado a terceiros avalia suas próprias práticas: análise prévia, cláusulas contratuais, acompanhamento da concentração, estratégias de saída, manutenção do registro de informações. Você também pode disponibilizar o referencial aos seus prestadores em avaliação individual ou em escala, e comparar os resultados numa base comum.
Como se passa do diagnóstico ao plano de ação?
A lacuna entre a pontuação obtida e a meta definida gera automaticamente as ações correspondentes. A IA as agrupa em um roteiro priorizado, e o catálogo de serviços apresenta uma solução para cada item, com custo, prazo e impacto esperado na pontuação.
Onde os dados ficam hospedados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.