O Regulamento DORA (Digital Operational Resilience Act) foi criado pela União Europeia para fortalecer a resiliência digital e a gestão de risco tecnológico no setor financeiro. A nova legislação representa um passo decisivo para garantir a continuidade das operações e a segurança cibernética das instituições que atuam nos mercados financeiros europeus.
Mas afinal, quem precisa cumprir o DORA? Este artigo esclarece quais entidades estão abrangidas e quais estão excluídas.
A QUEM SE APLICA O REGULAMENTO DORA?
O DORA aplica-se a uma ampla gama de instituições do setor financeiro e tecnológico, tanto tradicionais quanto digitais. A seguir, listamos todas as entidades abrangidas pelo regulamento:
- Instituições de crédito (bancos);
- Instituições de pagamento, incluindo as instituições de pagamento isentas pela Diretiva 2015/2366;
- Prestadores de serviços de informação sobre contas;
- Instituições de moeda eletrónica, incluindo as instituições de moeda eletrónica isentas pela Diretiva 2009/110/CE;
- Empresas de investimento;
- Prestadores de serviços de criptoativos autorizados e emissores de criptofichas (tokens) referenciadas a ativos;
- Centrais de valores mobiliários;
- Contrapartes centrais;
- Plataformas de negociação;
- Repositórios de transações;
- Gestores de fundos de investimento alternativos;
- Sociedades gestoras;
- Prestadores de serviços de comunicação de dados;
- Empresas de seguros e resseguros;
- Mediadores de seguros, resseguros e de seguros a título acessório;
- Instituições de realização de planos de pensões profissionais;
- Agências de notação de risco;
- Administradores de índices de referência críticos;
- Prestadores de serviços de financiamento colaborativo (crowdfunding);
- Repositórios de titularizações;
- Terceiros prestadores de serviços de TIC.
As entidades acima listadas são legalmente designadas como “entidades financeiras” no âmbito do Regulamento DORA.
QUEM ESTÁ EXCLUÍDO DO DORA?
O regulamento não se aplica a:
- Gestores de fundos de investimento alternativos (GFIA) que, direta ou indiretamente, gerem carteiras de FIAs cujos ativos de gestão não excedam, no total, o limiar de 100 milhões de euros, ou 500 milhões de euros se as carteiras forem constituídas por FIAs que não recorram ao efeito de alavanca e em relação aos quais não existam direitos de reembolso que possam ser exercidos durante um período de 5 anos a contar da data do investimento inicial em cada FIA.
- Empresas de seguros e resseguros que preencham cumulativamente as condições seguintes: o volume bruto anual de prémios emitidos não exceder 5 milhões de euros; o seu valor total bruto de provisões técnicas, sem dedução dos montantes recuperáveis de contratos de resseguro e entidades instrumentais, não exceder 25 milhões de euros; se a empresa pertencer a um grupo, o valor total bruto das provisões técnicas do grupo, sem dedução dos montantes recuperáveis de contratos de resseguro e entidades instrumentais, não exceder 25 milhões de euros; a atividade da empresa não incluir o seguro ou resseguro de riscos de responsabilidade civil, de crédito e de caução, a menos que constituam riscos acessórios; a atividade da empresa não incluir operações de resseguro que excedam 0,5 milhões de euros do volume bruto de prémios emitidos ou 2,5 milhões de euros das suas provisões técnicas sem dedução dos montantes recuperáveis de contratos de resseguro e entidades instrumentais, 10 % do volume bruto de prémios emitidos ou 10 % das suas provisões técnicas sem dedução dos montantes recuperáveis de contratos de resseguro e entidades instrumentais.
- Instituições de realização de planos de pensões profissionais com menos de 15 membros;
- Pessoas singulares ou coletivas isentas pelos artigos 2.º e 3.º da Diretiva 2014/65/UE;
- Mediadores de seguros, de resseguros e de seguros a título acessório que sejam micro, pequenas ou médias empresas;
- Instituições de cheques postais .
QUAL A RELEVÂNCIA DA APLICAÇÃO OU EXCLUSÃO?
Mesmo empresas que tradicionalmente não eram vistas como alvos de regulação tecnológica agora devem adotar medidas concretas de cibersegurança, continuidade operacional e testes de resiliência.
Ignorar o escopo do DORA pode significar riscos legais, reputacionais e operacionais severos, além de sanções financeiras significativas.
CONCLUSÃO
O Regulamento DORA marca uma nova fase de governança digital obrigatória no setor financeiro europeu. A conformidade não é mais opcional e abrange muito mais do que bancos e seguradoras.
A sua organização está abrangida? Tem contratos com prestadores de TIC? Fornece serviços em mercados regulados? Então é hora de avaliar a conformidade e preparar-se para cumprir as obrigações do DORA.
