DORA: designados os primeiros prestadores TIC críticos
As ESA designaram 19 prestadores terceiros críticos de serviços TIC ao abrigo do DORA, agora sob supervisão direta da UE. O que significa.
O Regulamento relativo à resiliência operacional digital (DORA, Regulamento (UE) 2022/2554) aplica-se desde 17 de janeiro de 2025 a bancos, seguradoras, empresas de investimento, instituições de pagamento e outras entidades financeiras. A sua supervisão dos maiores fornecedores de tecnologia já está em funcionamento.
19 prestadores sob supervisão direta da UE
Em 18 de novembro de 2025, as três Autoridades Europeias de Supervisão (EBA, EIOPA e ESMA) publicaram a primeira lista de prestadores terceiros críticos de serviços TIC (CTPP). Os 19 prestadores designados são grandes empresas de nuvem, centros de dados, telecomunicações, consultoria e dados financeiros, entre elas a Amazon Web Services EMEA, a Google Cloud EMEA, a Microsoft Ireland Operations, a Oracle Nederland, a SAP SE, a Deutsche Telekom, a Orange, a Equinix, a Capgemini, a Accenture e a IBM.
As autoridades basearam-se nos registos de informação que as entidades financeiras mantêm sobre os seus contratos TIC, seguidos de uma avaliação de criticidade com as autoridades nacionais. Os prestadores designados têm agora uma autoridade de superintendência principal que pode pedir informações, realizar inspeções e emitir recomendações. A lista é atualizada todos os anos.
Registos de informação: todos os anos
As entidades financeiras mantêm um registo de todos os acordos com prestadores terceiros de serviços TIC. A partir de 2026, as autoridades nacionais comunicam esses registos às ESA até 31 de março de cada ano, com 31 de dezembro do ano anterior como data de referência. As autoridades nacionais fixam prazos próprios, mais cedo, para as entidades que supervisionam.
O que significa
- Para as entidades financeiras: a supervisão de um CTPP não substitui a sua própria responsabilidade. Continua a gerir o risco de terceiros TIC: contratos com as cláusulas do artigo 30.º, estratégias de saída e um registo completo e correto.
- Para os prestadores TIC fora da lista, incluindo prestadores SaaS mais pequenos: conte com cláusulas DORA nos contratos, perguntas sobre subcontratantes e localizações, e pedidos de apoio na saída e em incidentes. Respostas claras encurtam as compras.
A perspetiva do prestador: DORA para prestadores terceiros TIC e SaaS.
Fontes
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 19 de outubro de 2026.
Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål