CRA, NIS2, DORA: três diplomas, um único dispositivo de ciber-resiliência

A Europa construiu a sua ciber-resiliência em três blocos. A NIS2 visa as entidades essenciais e importantes de dezoito setores críticos: uma diretiva, logo sujeita a transposição nacional, cuja versão francesa ainda se faz esperar, ao ponto de a Comissão ter reenviado a França ao Tribunal de Justiça a 9 de julho. O DORA visa as entidades financeiras, bancos, seguradoras, sociedades gestoras: um regulamento, aplicável tal como está desde 17 de janeiro de 2025, supervisionado em França pela ACPR. O CRA visa os produtos: qualquer equipamento ou software com elementos digitais colocado no mercado europeu, com um primeiro prazo vinculativo a 11 de setembro de 2026, a notificação das vulnerabilidades ativamente exploradas, e a Comissão acaba de publicar a primeira orientação de aplicação.

Vistos de Bruxelas, três âmbitos distintos. Vistos de dentro de um grupo, as mesmas pessoas: o CISO, a equipa de conformidade, a direção de risco, muitas vezes os mesmos prestadores. Um banco que desenvolve as suas próprias aplicações está sujeito ao DORA quanto ao seu dispositivo, ao CRA quanto aos seus produtos, e o grupo pode ainda ter filiais abrangidas pela NIS2. O próprio texto prevê essa articulação: para as entidades financeiras, o DORA prevalece sobre a NIS2, enquanto diploma setorial específico. Falta ainda saber, com precisão, quem, dentro do grupo, está sujeito a quê.

Despidos do seu vocabulário próprio, os três textos exigem a mesma base. Uma governação identificada: os órgãos de direção são responsáveis, pessoalmente na NIS2 e no DORA, pela aprovação e supervisão do dispositivo. Uma gestão do risco TIC documentada: identificar os ativos, avaliar as ameaças, tratar os desvios. Um processo de gestão de incidentes: detetar, qualificar, notificar, retirar lições. E um controlo de terceiros: a cadeia de aprovisionamento na NIS2, o registo dos prestadores TIC no DORA, entregue aos supervisores desde abril de 2025, a cadeia de componentes no CRA.

As diferenças reais residem nos prazos e nos canais de notificação. Um incidente grave notifica-se à autoridade nacional competente ao abrigo da NIS2 (alerta precoce em 24 horas, notificação em 72 horas), ao supervisor financeiro ao abrigo do DORA, segundo os seus próprios modelos harmonizados, à ENISA ao abrigo do CRA, para uma vulnerabilidade de produto ativamente explorada, em 24 horas. Três formulários, três relógios, um único incidente real.

É o tratamento em silo que produz aqui os seus efeitos mais concretos. Três projetos de conformidade constroem três inventários de ativos que divergem entre si, três mapeamentos de risco em escalas incompatíveis, três procedimentos de notificação sem que ninguém saiba qual se aplica às duas da manhã, quando o incidente é real e os três relógios correm ao mesmo tempo.

É o teste que não perdoa: um incidente significativo num agente financeiro que também é editor de software pode desencadear em simultâneo uma notificação DORA ao supervisor e uma notificação CRA à ENISA, enquanto as filiais do grupo se interrogam sobre as suas obrigações NIS2. As organizações que já ensaiaram este cenário sobre um dispositivo unificado conseguem executá-lo; as restantes descobrem-no ao sofrê-lo.

A resposta metodológica é a mesma que descrevemos para a acumulação regulatória em geral: separar a base, que se mede uma única vez, das leituras regulatórias, que se desdobram por diploma. Um diagnóstico de maturidade em ciber-resiliência avalia as capacidades comuns, governação, risco, incidentes, terceiros, testes, numa escala homogénea; cada critério é associado aos diplomas a que serve, e as três conformidades leem-se como três projeções do mesmo ponto de situação.

Este cruzamento torna visíveis colisões úteis: um processo de gestão de incidentes unificado, com os seus limiares de qualificação e o seu diretório de canais de notificação, faz avançar os três diplomas de uma só vez. Um registo de terceiros bem construído serve o DORA hoje e a cadeia de aprovisionamento da NIS2 amanhã. E uma linguagem de risco comum, a da ISO 27005, por exemplo, evita que cada texto reinvente a sua própria escala de gravidade.

O prazo do CRA de 11 de setembro é o gatilho certo, porque está próximo, é vinculativo e é operacional. Três gestos pela ordem certa: clarificar quem, dentro do grupo, está sujeito a que diploma, entidade a entidade e produto a produto. Unificar o processo de notificação, um único procedimento interno, três canais de saída, responsáveis identificados e contactáveis. Depois, medir a maturidade da base e converter os desvios num plano de ação com datas, priorizando o que serve os três diplomas ao mesmo tempo.

O calendário não vai parar aqui: as obrigações principais do CRA chegam em dezembro de 2027, a lei de transposição francesa da NIS2 acabará por ser aprovada, o DORA continua a elevar as exigências sobre os testes. As organizações que pilotam este trio a partir de um diagnóstico único absorverão cada novo degrau. As restantes recomeçarão um projeto a cada novo prazo.