O setor bancário da UE estará preparado para a conformidade com a DORA?

Em janeiro de 2025, as instituições financeiras na Europa enfrentam um grande teste: a Lei de Resiliência Operacional Digital (DORA).  

O DORA combina as regras de risco e resiliência de TIC em uma estrutura unificada. Mas as organizações financeiras estarão prontas?

Muitos estão correndo contra o relógio. Prazos apertados e padrões em evolução estão dificultando a preparação.

Como explica Raghu Nandakumara, diretor sênior de marketing de soluções industriais da Illumio, “Os bancos teriam se beneficiado de padrões técnicos mais claros anteriormente. Os padrões surgiram em duas ondas: uma no início de 2022 e a segunda em meados de 2024. Isso faltava menos de 12 meses para o prazo final de 17 de janeiro.”

Desempacotando DORA

What does DORA require by the deadline? It’s not just about protecting systems. The focus is on keeping critical services running — even during disruptions.

Para atender aos padrões da DORA, as instituições financeiras devem:

• Teste sistemas de TIC regularmente

• Gerencie riscos com fornecedores terceirizados

• Garanta que os serviços essenciais permaneçam operacionais, não importa o que aconteça

“A DORA tem um foco claro: reduzir o impacto dos incidentes. A abordagem? Suponha que as violações aconteçam.” — Raghu Nandakumara

Os 6 principais desafios da conformidade com o DORA

1. Prazos apertados, padrões em evolução

The rules explaining DORA’s requirements, called regulatory technical standards (RTSs), were released late. The first version came out in January 2024, and the second followed in July. With less than a year to prepare, meeting the requirements has turned into a race against time.

2. Gerenciando fornecedores de terceiros

Third-party providers — like hyperscalers and managed service providers (MSPs) — are key to financial services. But here’s the challenge: Who decides if a vendor falls under DORA’s scope? “Does the financial institution or the regulator decide this?” asks Raghu.

Para MSPs menores, os obstáculos são ainda maiores. A conformidade depende de seu papel nos processos financeiros. Sem regras claras, é difícil saber o que é necessário. Corrigir isso requer duas coisas:

• Diretrizes mais claras

• Colaboração mais forte com fornecedores

3. Alinhando governança e liderança

DORA places operational resilience at the top of the leadership agenda. Boards must:

• Estabeleça limites claros de risco de TIC

• Monitore os principais incidentes

• Garanta que os recursos certos estejam disponíveis

No entanto, muitas organizações não têm a estrutura e a consciência para atingir essas metas.

4. Teste e melhoria constante

Testing plays a key role in DORA compliance. Organizations must:

• Execute testes anuais de resiliência em sistemas de TIC

• Realize testes avançados de penetração a cada três anos

“Os testes ajudam a identificar lacunas e desenvolver planos de melhoria, impulsionando o progresso até a maturidade. No entanto, esses testes consomem muitos recursos e exigem trabalho em equipe entre departamentos e fornecedores. — Raghu Nandakumara

5. Construindo uma cultura resiliente

DORA não se trata de marcar caixas. É sobre se manter preparado. A liderança deve:

• Champion operational resilience

• Promova o trabalho em equipe em todos os departamentos

Uma mudança cultural pode ser fundamental para o sucesso a longo prazo.

6. Lacuna de habilidades: pressão crescente

The global cybersecurity workforce gap — estimated at 4 million — worsens DORA’s challenges. A strong compliance program can ease this pressure. It simplifies efforts while delivering broader operational benefits.

" Os novos mandatos da DORA aumentam a pressão sobre as equipes de operações, políticas e auditoria de segurança. " — Raghu Nandakumara

Como o DORA e o Zero Trust se alinham?

Does DORA mention Zero Trust? Not directly. But its key ideas — like least privilege access and continuous monitoring — align closely.

A filosofia da Zero Trust, “nunca confie, sempre verifique”, reduz o risco ao fazer com que cada usuário, dispositivo, aplicativo e carga de trabalho seja autenticado antes de obter acesso.

Como isso ajuda com os maiores riscos cibernéticos da atualidade?

• Stops ransomware: Reduce the impact of ransomware attacks by limiting how far it can spread through the network.

• Secures the cloud: Dynamic policies protect the hybrid multi-cloud.

• Manages third-party risks: Restrict vendor access to critical systems. Control how much access vendors have to critical systems.

Contagem regressiva para 17 de janeiro

O tempo está passando. Testes, supervisão terceirizada e planejamento de resiliência não são opcionais. Isso requer estratégias proativas e uma mudança cultural em direção à resiliência.  

Como explicou Raghu, “A UE quer progresso, não perfeição. Eles querem ver como as organizações interpretam os requisitos e o que elas alcançaram.”

Você está interessado em aprender mais sobre a conformidade com o DORA? Baixe nosso e-book gratuito, Estratégias para conformidade com DORA: o papel fundamental da microssegmentação. Descubra como a microssegmentação pode melhorar a segurança da sua organização.