Regulamento DORA em Portugal
Guia, ferramentas gratuitas e templates para a resiliência operacional digital do setor financeiro, com a camada portuguesa: Lei 73/2025, Banco de Portugal, ASF e CMVM.
O DORA em resposta curta
O Regulamento (UE) 2022/2554, conhecido por DORA, define como as entidades financeiras da União Europeia têm de gerir o risco associado às TIC, notificar incidentes de caráter severo relacionados com as TIC, testar a resiliência operacional digital, controlar os terceiros prestadores de serviços de TIC e partilhar informações sobre ciberameaças. É aplicável desde 17 de janeiro de 2025 (art. 64.º).
Em Portugal, a Lei n.º 73/2025, de 23 de dezembro, executa o regulamento: designa o Banco de Portugal, a ASF e a CMVM como autoridades competentes, cada uma para as entidades que supervisiona, e fixa as contraordenações e as coimas. Esta secção explica o regulamento, mostra a camada portuguesa e reúne ferramentas gratuitas e templates em português.
O que fazer até 28 de fevereiro de 2027
Quatro passos
- Confirmar se o DORA se aplica à entidade e em que regime: geral ou quadro simplificado de gestão do risco associado às TIC. Use o verificador gratuito.
- Preparar o registo de informações com data de referência a 31 de dezembro de 2026. Na ASF, o envio é feito até 28 de fevereiro pelo Portal de Operadores confirmado; o primeiro envio a 28 de fevereiro de 2027 é inferido. No Banco de Portugal e na CMVM, o prazo e o canal estão por confirmar a confirmar. O preparador gratuito ajuda a organizar os dados.
- Comunicar previamente à ASF os acordos planeados para serviços de TIC que apoiam funções críticas ou importantes: desde 27 de novembro de 2026, com quatro elementos (denominação do prestador, LEI se existir, data de início e função apoiada) confirmado.
- Rever os acordos contratuais face ao artigo 30.º do DORA. Veja DORA para fornecedores de serviços de TIC.
O primeiro envio a 28 de fevereiro de 2027 resulta da regra anual da Norma Regulamentar n.º 6/2026-R da ASF e da sua entrada em vigor a 29 de outubro de 2026; a norma não escreve o ano 2027.
Estados: confirmado lido na fonte oficial a 7 de novembro de 2026; inferido conclusão nossa a partir de factos confirmados; a confirmar ainda não confirmado, não deve ser tomado como certo.
Ferramentas gratuitas
Funcionam no navegador e não enviam os dados da entidade para nenhum servidor.
A quem se aplica o DORA
Veja a categoria do artigo 2.º, as exclusões, se é microempresa, se pode aplicar o quadro simplificado e qual é a autoridade em Portugal.
Abrir o verificadorPreparador do registo de informações
Prepare passo a passo os dados da entidade, dos terceiros prestadores, dos acordos contratuais, das funções críticas e da cadeia de subcontratação, com validação do LEI e exportação em Excel.
Abrir o preparadorCalculadora de coimas pela Lei 73/2025
Calcule a moldura da coima da Lei 73/2025 por alínea do artigo 11.º, com a negligência e a elevação do máximo.
Abrir a calculadoraCalendário
| Data | O que acontece | Fonte | Estado |
|---|---|---|---|
| 17 jan 2025 | O DORA passa a ser aplicável | DORA, art. 64.º | confirmado |
| 28 dez 2025 (continente) e 7 jan 2026 (Regiões Autónomas) | A Lei 73/2025 entra em vigor | Lei 74/98, art. 2.º | confirmado |
| 29 out 2026 | A Norma Regulamentar n.º 6/2026-R da ASF entra em vigor | NR 6/2026-R, art. 11.º | confirmado |
| 27 nov 2026 | ASF: começa a comunicação prévia dos acordos planeados para funções críticas ou importantes | NR 6/2026-R, art. 11.º (contagem nossa) | confirmado |
| 31 dez 2026 | Data de referência do registo de informações a enviar em 2027 | NR 6/2026-R, art. 39.º-A | inferido |
| 28 fev 2027 | ASF: primeiro envio do registo de informações | NR 6/2026-R, art. 39.º-A | inferido |
| 28 fev 2027 | Banco de Portugal e CMVM: data prevista do registo de informações | Workshop do Banco de Portugal; projeto da CMVM | a confirmar |
| 17 jan 2028 | Relatório de revisão geral do DORA | DORA, art. 58.º, n.º 1 | confirmado |
Guias desta secção
O que é o DORA
Os cinco pilares, os atos de nível 2, as datas e o texto oficial em português.
Ler o guiaA quem se aplica
As 20 categorias de entidades financeiras, as exclusões, as microempresas e os prestadores.
Ver o âmbitoRegisto de informações
Guia dos 15 modelos, identificadores, formato e prazos por autoridade.
Ler o guiaFornecedores de serviços de TIC
O que os clientes financeiros vão pedir e as cláusulas do artigo 30.º.
Ler o guiaTemplates em português
O catálogo DORA reúne quatro produtos em Word e Excel: registo de informações, fornecedores de serviços de TIC, incidentes e kit da entidade (com o kit do quadro simplificado). Os templates estão em preparação e cada produto tem pedido de proposta.
Já cumpre a NIS2?
As entidades financeiras que também estão no Regime Jurídico da Cibersegurança podem reaproveitar parte do trabalho. Veja DORA e NIS2, o Percurso NIS2 e a matriz de sobreposição DORA e NIS2. A página inicial do site tem o guia completo da NIS2 em Portugal.
Perguntas frequentes
O que é o regulamento DORA?
O DORA é o Regulamento (UE) 2022/2554, sobre a resiliência operacional digital do setor financeiro. Obriga as entidades financeiras a gerir o risco associado às TIC, a notificar incidentes de caráter severo relacionados com as TIC, a testar a resiliência operacional digital e a controlar os terceiros prestadores de serviços de TIC. É aplicável desde 17 de janeiro de 2025 e diretamente aplicável em todos os Estados-Membros (art. 64.º).
A quem se aplica o DORA em Portugal?
A 20 tipos de entidades financeiras (art. 2.º, n.º 1, alíneas a) a t)), como instituições de crédito, empresas de seguros e de resseguros, empresas de investimento e prestadores de serviços de criptoativos, e, por via dos contratos, aos terceiros prestadores de serviços de TIC. Em Portugal, a Lei 73/2025 designa o Banco de Portugal, a ASF e a CMVM como autoridades competentes, cada uma para as entidades que supervisiona.
Qual é o prazo do registo de informações em 2027?
Para as entidades supervisionadas pela ASF, a norma fixa 28 de fevereiro de cada ano, com referência a 31 de dezembro do ano anterior; o primeiro envio será, por leitura da regra, a 28 de fevereiro de 2027. Para o Banco de Portugal e para a CMVM, o prazo e o canal estão por confirmar.
O DORA substitui a NIS2 para as entidades financeiras?
Não por completo. O Regime Jurídico da Cibersegurança não prejudica o DORA (DL 125/2025, art. 3.º, n.º 9), mas as entidades financeiras mantêm a designação do Responsável de Cibersegurança, o ponto de contacto permanente e a notificação de incidentes do RJC (Regulamento 756/2026, art. 10.º, n.º 3). Veja a página DORA e NIS2.
Fontes
- Regulamento (UE) 2022/2554 (DORA), EUR-Lex em português
- Lei n.º 73/2025, de 23 de dezembro, Diário da República
- Norma Regulamentar n.º 6/2026-R da ASF (aprovada a 20 de outubro de 2026, publicada a 28 de outubro de 2026)