Maturidade DORA · Resiliência operacional digital dos serviços financeiros
A sua resiliência operacional digital, medida artigo a artigo e traduzida num plano de ação quantificado.
10 domínios, 108 perguntas, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 10 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade DORA · Resiliência operacional digital dos serviços financeiros
10 domínios, 108 perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Regulamento (UE) 2022/2554 (DORA), aplicável desde 17 de janeiro de 2025 lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 10 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação numa trajetória.
As estratégias de saída dos prestadores TIC que suportam funções críticas ou importantes estão definidas e testadas?
- N1
Nenhuma estratégia de saída está formalizada. A questão só se colocaria no momento em que um prestador cessasse o serviço.
- N2
Existem cláusulas de reversibilidade em alguns contratos, sem plano de saída associado nem cenário de transição identificado.
- N3
Existe uma estratégia de saída documentada para cada prestador que suporta uma função crítica: solução de substituição, dados a recuperar, duração estimada da transição.
- N4
As estratégias de saída são revistas em cada renovação contratual e associadas ao registo de informação. Os prazos de transição são verificados com a área de negócio em causa.
- N5
Os cenários de saída são testados em exercícios, incluindo os casos de rescisão não planeada, e os ensinamentos alimentam a revisão dos contratos e do quadro de gestão do risco TIC.
Ação para passar de N2 a N3
Estabelecer, para cada prestador TIC que suporta uma função crítica ou importante identificada no registo de informação, uma ficha de saída que especifique a solução de substituição, os dados e formatos a recuperar e a duração de transição estimada, e submetê-la à validação da área de negócio proprietária no comité de risco TIC do trimestre.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira mediçãoem DORA.
Sobre o que trata este referencial
O DORA, o Regulamento (UE) 2022/2554 relativo à resiliência operacional digital do setor financeiro, é aplicável desde 17 de janeiro de 2025. Abrange um âmbito alargado: instituições de crédito, empresas de investimento, seguradoras, gestoras de ativos, prestadores de serviços de criptoativos, infraestruturas de mercado, e os prestadores terceiros de serviços TIC designados como críticos. Cinco pilares estruturam o texto: um quadro de gestão do risco associado às TIC sob a responsabilidade do órgão de direção, a gestão e notificação de incidentes maiores, os testes de resiliência digital, a gestão do risco associado a prestadores terceiros, e a partilha de informações sobre ciberameaças.
A dificuldade não está em compreender o texto, está em saber onde realmente se encontra a organização. O registo de informação sobre os acordos contratuais é mantido atualizado ao longo dos aditamentos, ou reconstituído uma vez por ano para o prazo de entrega? Os prazos de notificação de um incidente maior são cumpríveis numa sexta-feira à noite, com as pessoas que estão realmente de prevenção? As estratégias de saída dos prestadores críticos estão documentadas e testadas, ou existem apenas sob a forma de cláusula contratual? Estas questões não se resolvem através de um estado de conformidade binário.
Uma confusão surge com frequência: o DORA é um regulamento, não uma diretiva, e não se certifica. Não existe um selo DORA. O controlo passa pelas autoridades competentes nacionais e europeias, pela entrega do registo de informação, pela notificação de incidentes e, para as entidades designadas, pelos testes de penetração baseados na ameaça do tipo TLPT. Outro ponto a clarificar: o DORA prevalece sobre a NIS 2 para as entidades financeiras abrangidas, mas os dispositivos de governação e de gestão dos riscos subjacentes permanecem largamente comuns.
A auditoria de conformidade conclui por um desvio ou uma conformidade relativamente a uma exigência dada. O diagnóstico de maturidade responde a outra questão: em que nível de controlo se situa a prática, e qual a ação precisa que permite passar ao nível seguinte. No DORA, esta nuance é decisiva, pois a maioria das organizações dispõe dos documentos esperados sem ter a repetibilidade, a rastreabilidade e o pilotagem que o regulador irá observar num controlo ou após um incidente real.
No Datamensio, o referencial DORA está pronto a usar e é adaptável. A IA ajusta os domínios, as questões e os níveis ao seu estatuto regulamentar e à sua dimensão, aplicando o princípio da proporcionalidade do texto, ou constrói uma versão a partir dos seus próprios documentos: política de gestão do risco TIC, registo de informação, planos de continuidade.
Norma de referência: Regulamento (UE) 2022/2554 (DORA), aplicável desde 17 de janeiro de 2025
Os domínios avaliados
Governação e responsabilidade do órgão de direção
Aprovação e revisão do quadro de gestão do risco TIC, papéis e responsabilidades, alocação do orçamento, formação dos dirigentes, articulação com as funções de controlo.
Quadro de gestão do risco associado às TIC
Políticas e procedimentos documentados, tolerância ao risco de perturbação digital, revisão anual, integração dos ensinamentos dos incidentes e dos testes.
Mapeamento dos ativos e das funções críticas
Inventário dos ativos TIC, identificação das funções críticas ou importantes, dependências internas e externas, classificação das informações, manutenção atualizada.
Proteção e prevenção
Gestão das identidades e dos acessos, encriptação, segurança das redes, gestão das alterações e das correções, segurança dos desenvolvimentos.
Deteção e monitorização
Mecanismos de deteção de atividades anómalas, limiares de alerta, cobertura da monitorização, recursos dedicados, revisão do desempenho dos dispositivos.
Continuidade, recuperação e cópias de segurança
Política de continuidade das atividades TIC, objetivos de tempo e de ponto de recuperação, sites de reserva, política de cópia de segurança e restauro, exercícios documentados.
Gestão e notificação de incidentes
Processo de deteção e classificação, critérios de caráter maior, prazos de notificação inicial, intermédia e final, canais para a autoridade competente, informação aos clientes.
Testes de resiliência operacional digital
Programa de testes anual, análises de vulnerabilidade, testes de compatibilidade e de desempenho, testes baseados na ameaça do tipo TLPT, tratamento das constatações.
Gestão do risco associado a prestadores terceiros
Política relativa aos prestadores TIC, análise prévia, cláusulas contratuais obrigatórias, concentração, subcontratação em cadeia, direitos de auditoria e de acesso.
Registo de informação e entrega às autoridades
Completude do registo dos acordos contratuais, qualidade dos dados, processo de atualização, preparação das entregas e dos pedidos das autoridades.
Está disponível uma versão curta do referencial, com 40 perguntas, para a auto-avaliação online. A versão completa inclui 10 domínios e 108 perguntas.
Perguntas frequentes
É possível ser certificado DORA?
Não. O DORA é um regulamento europeu de aplicação direta, não existe certificação associada. O controlo cabe às autoridades competentes, através do registo de informação, das notificações de incidentes e, para as entidades em causa, dos testes baseados na ameaça. O diagnóstico de maturidade mede as suas práticas e prepara estes prazos, não emite nenhuma atestação.
Qual a diferença entre este diagnóstico e uma auditoria de conformidade DORA?
A auditoria verifica a presença de uma exigência e conclui por um desvio ou uma conformidade. O diagnóstico situa cada prática numa escala de maturidade de cinco níveis e indica a ação que permite passar ao nível seguinte. Os dois complementam-se: o diagnóstico constrói a trajetória, a auditoria valida o estado atingido.
Quanto tempo demora a avaliação?
A versão curta preenche-se em 20 a 30 minutos. A versão completa, em modo colaborativo, mobiliza vários contribuidores: segurança, compras, continuidade, conformidade. A maior parte do tempo é dedicada à recolha junto destas equipas, mais do que ao preenchimento.
O referencial é adaptável ao nosso estatuto e à nossa dimensão?
Sim. O DORA aplica um princípio de proporcionalidade, e o referencial segue a mesma lógica: pode modificar as questões, os níveis e os domínios, ou deixar a IA produzir uma versão adaptada ao seu estatuto regulamentar a partir dos seus documentos. O controlo do referencial pertence-lhe.
Como articular o DORA com a NIS 2 e a ISO 27001?
O DORA prevalece sobre a NIS 2 para as entidades financeiras abrangidas, mas as exigências de governação, de gestão dos riscos e de tratamento de incidentes assentam em princípios convergentes com a ISO 27001 e a ISO 27005. Os roteiros transversais do Datamensio consolidam vários diagnósticos e agrupam as ações comuns em vez de as duplicar.
O diagnóstico abrange os nossos prestadores informáticos?
O pilar dedicado a terceiros avalia as suas práticas: análise prévia, cláusulas contratuais, acompanhamento da concentração, estratégias de saída, manutenção do registo de informação. Pode também difundir o referencial junto dos seus prestadores em avaliação individual ou industrial, e comparar os seus resultados numa base comum.
Como se passa do diagnóstico ao plano de ação?
O desvio entre a pontuação obtida e o objetivo fixado gera automaticamente as ações correspondentes. A IA agrupa-as num roteiro priorizado, e o catálogo de prestações abre uma solução para cada elemento, com o seu custo, o seu prazo e o seu impacto esperado na pontuação.
Onde estão alojados os dados?
Em França, na OVH, com cópia de segurança na Scaleway. Nenhuma transferência fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, incluindo entre soluções europeias.