Quais as entidades abrangidas pelo DORA em Portugal?

O artigo 2.º do DORA define um âmbito de aplicação amplo. Em Portugal, as entidades sujeitas incluem:

O DORA aplica-se a bancos de pequena dimensão em Portugal?

Sim, mas com adaptações. O princípio de proporcionalidade do artigo 4.º do DORA permite às entidades de pequena dimensão e não interligadas aplicar um marco de gestão de riscos TIC simplificado — em vez do marco completo exigido às grandes instituições. O Banco de Portugal definiu os critérios específicos para a aplicação deste regime simplificado às caixas de crédito agrícola mútuo e às caixas económicas. Contudo, os requisitos de notificação de incidentes e de gestão de fornecedores TIC aplicam-se independentemente da dimensão.

Qual a relação entre o DORA e o RGPD em caso de incidente de segurança?

Em caso de incidente TIC que implique uma violação de dados pessoais, a entidade financeira deve notificar simultaneamente: ao supervisor financeiro (Banco de Portugal ou CMVM) ao abrigo do DORA, no prazo de 4 horas (alerta inicial); e à CNPD (Comissão Nacional de Protecção de Dados) ao abrigo do RGPD (art. 33.º), no prazo de 72 horas. As duas notificações são cumulativas e os prazos correm em paralelo. O DORA e o RGPD são normativos complementares e não alternativos.

A utilização de serviços cloud (AWS, Azure, Google Cloud) é afectada pelo DORA?

Sim, de forma significativa. Os grandes fornecedores de cloud (AWS, Microsoft Azure, Google Cloud, IBM Cloud) foram designados pelas AES como Fornecedores TIC Críticos (CTPP). Isto implica que os contratos com estes fornecedores devem incluir as cláusulas obrigatórias do artigo 30.º do DORA: direitos de auditoria, SLAs detalhados, planos de continuidade, direitos de saída e portabilidade de dados. As AES podem realizar inspecções directas a estes fornecedores, independentemente da localização dos seus servidores.

Com que frequência devem ser realizados os testes de resiliência DORA?

O DORA distingue dois tipos de testes. Os testes básicos (análise de vulnerabilidades, testes de penetração standard, revisões de código) devem ser realizados anualmente por todas as entidades. Os TLPT (Threat-Led Penetration Tests), testes avançados baseados em inteligência de ameaças reais, são obrigatórios a cada 3 anos apenas para entidades significativas designadas pelo Banco de Portugal ou CMVM. O TLPT é executado por terceiros especializados e certificados, com supervisão directa da autoridade competente.

Uma fintech portuguesa com licença de PSP está sujeita ao DORA?

Sim. As fintechs autorizadas como Prestadores de Serviços de Pagamento (PSP) ao abrigo da PSD2 estão expressamente incluídas no âmbito do DORA (art. 2.º, n.º 1, al. d). O Banco de Portugal, enquanto autoridade supervisora dos PSP em Portugal, verifica o cumprimento do DORA nestas entidades. Adicionalmente, as fintechs com licença MiCA para serviços sobre criptoactivos também se encontram abrangidas. O regime simplificado do artigo 4.º pode aplicar-se às fintechs de menor dimensão.

O DORA prevê responsabilidade pessoal dos administradores?

Sim. O DORA atribui expressamente ao órgão de administração a responsabilidade pela aprovação e supervisão do marco de gestão de riscos TIC (art. 5.º, n.º 2). Em caso de incumprimento grave, os administradores podem ser individualmente sancionados com coimas até €5.000.000 (ao abrigo da transposição nacional portuguesa) e com a inibição temporária do exercício de funções de gestão. O DORA reforça assim a responsabilização individual (accountability) dos administradores em matéria de riscos TIC — uma novidade face ao regime anterior.

Como se distingue o DORA da NIS2 para as entidades financeiras portuguesas?

O DORA é lex specialis face à NIS2 para o sector financeiro. Isto significa que, para as entidades financeiras abrangidas pelo DORA, este prevalece sobre a Directiva NIS2 (transposta em Portugal pela Lei n.º 65/2021) em todos os aspectos que regula. A NIS2 continua a aplicar-se às entidades financeiras apenas nas matérias não cobertas pelo DORA. Na prática, as entidades financeiras portuguesas devem centrar os seus esforços de compliance no DORA e verificar se existem lacunas específicas cobertas pela NIS2 que não sejam endereçadas pelo DORA — o que é raro dada a abrangência do Regulamento.

DORA para Empresas Financeiras em Portugal 2026: Obrigacoes, Calendario e Sancoes

RegTech

Igera Solutions

16 de junio de 2026

DORA regulamento empresas financeiras Portugal 2026

#DORA Portugal#regulamento resiliencia digital financeira#DORA compliance Portugal#Banco de Portugal DORA

Comparte el conocimiento con tu red

COMPARTIR

Artículos relacionados