Rules
DORA: resiliência operacional digital para o setor dos criptoativos
Paralelamente ao MiCA, muitas empresas financeiras e de criptoativos estão também sujeitas ao Regulamento da Resiliência Operacional Digital (DORA), um regulamento europeu que estabelece requisitos de segurança informática, gestão de incidentes e relação com fornecedores externos de tecnologia. Enquanto o MiCA abrange sobretudo o licenciamento e a conduta, o DORA foca-se em determinar se uma organização é tecnicamente resiliente para resistir a interrupções e ciberataques. Este guia explica o que isso significa e o que nota enquanto utilizador.
O que o DORA efetivamente regula
O DORA exige que as instituições financeiras, incluindo os prestadores de serviços de criptoativos licenciados pelo MiCA, estabeleçam um quadro de gestão de riscos de TIC. Isto abrange a identificação de vulnerabilidades, o teste da resiliência digital, a comunicação de incidentes graves de TIC aos supervisores e a gestão dos riscos decorrentes da subcontratação de fornecedores externos de tecnologia, como prestadores de serviços em nuvem.
Um elemento importante é a obrigatoriedade de as instituições testarem periodicamente se os seus sistemas resistem a ataques e interrupções, sendo exigidos testes mais avançados para as empresas de maior dimensão e mais críticas. Os contratos com fornecedores externos de TIC críticos devem também cumprir requisitos específicos, para que a falha de um fornecedor não se propague descontroladamente até aos utilizadores finais.
- Quadro obrigatório para a gestão de riscos de TIC
- Testes periódicos de resiliência, mais rigorosos para as maiores empresas
- Requisitos para contratos com fornecedores de tecnologia críticos
O que nota enquanto utilizador
Para a maioria dos utilizadores, o DORA é uma regulamentação invisível em segundo plano: não verá um «aviso DORA» separado numa plataforma. Contudo, nota os seus efeitos indiretamente, por exemplo através de uma comunicação mais clara por parte dos prestadores licenciados durante falhas do serviço, com atualizações atempadas sobre a causa e o tempo estimado de recuperação, em vez de longos períodos de silêncio.
O DORA pode também levar uma plataforma a desativar temporariamente ou a abrandar certos serviços quando se suspeita de um incidente de segurança grave, precisamente porque é obrigatório responder com prudência, bem como investigar e comunicar o incidente antes de retomar totalmente o serviço.
- Comunicação mais clara e atempada durante interrupções
- Possível desativação temporária de serviços após um incidente grave
- Testes invisíveis em segundo plano que melhoram a estabilidade da plataforma
Relação com o MiCA e a proteção dos clientes
O DORA e o MiCA complementam-se: o MiCA regula, entre outras coisas, o que acontece se os fundos dos clientes forem perdidos por negligência, enquanto o DORA se foca na prevenção de interrupções e ciberincidentes que possam causar essas perdas. Um prestador que cumpra ambos os regulamentos fica assim sujeito a regras mais rigorosas, tanto no âmbito da conduta como no da resiliência técnica.
Para os utilizadores, o resultado prático é que as plataformas sujeitas ao DORA têm geralmente procedimentos internos mais rigorosos para controlo de acessos, cópias de segurança e planos de contingência. Isto reduz o risco de indisponibilidade prolongada ou perda de dados, embora nenhum sistema seja totalmente infalível.
Quem está abrangido pelo DORA
O DORA tem um âmbito de aplicação amplo e afeta não apenas os prestadores de serviços de criptoativos, mas também bancos, empresas de investimento, instituições de pagamento e, em determinadas condições, os seus fornecedores externos de TIC críticos. Para o setor dos criptoativos, isto significa que tanto o próprio prestador como as entidades das quais depende tecnicamente devem cumprir determinados requisitos de resiliência.
Frequently asked questions
Posso ver em algum lado se uma plataforma cumpre o DORA?
Não sob a forma de um selo separado; o DORA atua sobretudo em segundo plano através de processos internos e supervisão, e não através de um selo visível no sítio Web.
O DORA impede que uma plataforma fique indisponível?
Não, o DORA reduz o risco de interrupções e melhora a forma como são geridas, mas não garante um funcionamento totalmente isento de falhas.
O DORA também se aplica ao fornecedor de serviços em nuvem de uma plataforma de criptoativos?
Os fornecedores externos de TIC críticos estão abrangidos pelo enquadramento do DORA sob certas condições, existindo requisitos específicos para os contratos que os prestadores celebram com eles.
O que acontece se um prestador não comunicar um incidente grave de TIC?
Trata-se de uma violação do regulamento sobre a qual o supervisor pode atuar com sanções, independentemente de eventuais prejuízos sofridos pelos clientes decorrentes do próprio incidente.
Read next
What is MiCA?
MiCA governs licensing, stablecoins and disclosure for crypto across the EU. What changes for users, providers and banks.
Consumer rights at an EU-licensed crypto provider
What rights do you have with an EU-licensed crypto provider? Complaint procedures, dispute resolution, and what isn't protected.
MiCA in the Netherlands: AFM and DNB explained
How the Netherlands implements MiCA: the split between AFM and DNB, the transitional regime for existing providers, and how to verify a licence.