A quem se aplica o DORA
As 20 categorias de entidades financeiras do artigo 2.º, as exclusões, as microempresas, o quadro simplificado e os prestadores de serviços de TIC.
Verificador gratuito. Responda a algumas perguntas e veja em que categoria do artigo 2.º se enquadra a entidade, se é microempresa e se pode aplicar o quadro simplificado de gestão do risco associado às TIC. Abrir o verificador A quem se aplica o DORA.
As 20 categorias de entidades financeiras
O artigo 2.º, n.º 1, do DORA enumera as entidades a que o regulamento se aplica. As alíneas a) a t) são as entidades financeiras; a alínea u) são os terceiros prestadores de serviços de TIC.
| Alínea | Categoria (art. 2.º, n.º 1) |
|---|---|
| a) | Instituições de crédito |
| b) | Instituições de pagamento, incluindo instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366 |
| c) | Prestadores de serviços de informação sobre contas |
| d) | Instituições de moeda eletrónica, incluindo instituições de moeda eletrónica isentas nos termos da Diretiva 2009/110/CE |
| e) | Empresas de investimento |
| f) | Prestadores de serviços de criptoativos autorizados nos termos do regulamento relativo aos mercados de criptoativos e emitentes de criptofichas referenciadas a ativos |
| g) | Centrais de valores mobiliários |
| h) | Contrapartes centrais |
| i) | Plataformas de negociação |
| j) | Repositórios de transações |
| k) | Gestores de fundos de investimento alternativos |
| l) | Sociedades gestoras |
| m) | Prestadores de serviços de comunicação de dados |
| n) | Empresas de seguros e de resseguros |
| o) | Mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório |
| p) | Instituições de realização de planos de pensões profissionais |
| q) | Agências de notação de risco |
| r) | Administradores de índices de referência críticos |
| s) | Prestadores de serviços de financiamento colaborativo |
| t) | Repositórios de titularizações |
| u) | Terceiros prestadores de serviços de TIC (não são entidades financeiras: o n.º 2 reserva essa expressão às alíneas a) a t)) |
O que fica fora do âmbito
O artigo 2.º, n.º 3, exclui:
- os gestores de fundos de investimento alternativos a que se refere o art. 3.º, n.º 2, da Diretiva 2011/61/UE;
- as empresas de seguros e de resseguros a que se refere o art. 4.º da Diretiva 2009/138/CE;
- as instituições de realização de planos de pensões profissionais que gerem planos com, no conjunto, não mais de 15 membros;
- as pessoas singulares ou coletivas isentas nos termos dos arts. 2.º e 3.º da Diretiva 2014/65/UE;
- os mediadores de seguros, de resseguros e a título acessório que sejam microempresas ou pequenas ou médias empresas;
- as instituições de cheques postais a que se refere o art. 2.º, n.º 5, ponto 3, da Diretiva 2013/36/UE.
Opção nacional e Portugal
O artigo 2.º, n.º 4, permite aos Estados-Membros excluir as entidades do art. 2.º, n.º 5, pontos 4 a 23, da Diretiva 2013/36/UE. Portugal usou a opção: a Lei 73/2025 (art. 2.º) exclui as caixas económicas existentes a 1 de janeiro de 1986, exceto as que tenham a forma de sociedade anónima, e inclui expressamente as empresas de seguros e de resseguros com sede em Portugal e as entidades gestoras de fundos de pensões.
Microempresas, proporcionalidade e quadro simplificado
Microempresa
Entidade financeira que não seja plataforma de negociação, contraparte central, repositório de transações ou central de valores mobiliários, com menos de 10 pessoas e volume de negócios anual e/ou balanço total anual até 2 milhões de euros (art. 3.º, ponto 60).
Proporcionalidade
O capítulo sobre gestão do risco associado às TIC aplica-se segundo a dimensão, a natureza e o perfil de risco de cada entidade (art. 4.º).
Quadro simplificado de gestão do risco associado às TIC (art. 16.º)
Os arts. 5.º a 15.º não se aplicam às seguintes entidades, que aplicam em alternativa o quadro simplificado do art. 16.º (RD 2024/1774, Título III, arts. 28.º a 41.º):
- empresas de investimento de pequena dimensão e não interligadas;
- instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366;
- instituições isentas nos termos da Diretiva 2013/36/UE, quando o Estado-Membro não tenha usado a opção do art. 2.º, n.º 4;
- instituições de moeda eletrónica isentas;
- instituições de realização de planos de pensões profissionais que gerem planos de pensões de pequena dimensão.
Estas entidades têm de cumprir os requisitos do segundo parágrafo do art. 16.º, n.º 1, alíneas a) a h), e preparam um relatório de revisão do quadro simplificado (RD 2024/1774, art. 41.º), entregue a pedido da autoridade competente.
Quantas entidades portuguesas estão no quadro simplificado
| Categoria | Situação em Portugal | Estado |
|---|---|---|
| Instituições isentas nos termos da Diretiva 2013/36/UE | Sem entidades: Portugal usou a opção do art. 2.º, n.º 4, do DORA (Lei 73/2025, art. 2.º, n.º 2). | confirmado |
| Instituições de pagamento isentas | O regime de isenção existe no direito português; o número de entidades não está apurado. | a confirmar |
| Instituições de moeda eletrónica isentas | Não se encontrou regime de dispensa para entidades com sede em Portugal. | a confirmar |
| Empresas de investimento pequenas e não interligadas | A categoria existe no direito português; o número de entidades não está apurado. | a confirmar |
Estados: confirmado lido na fonte oficial a 7 de novembro de 2026; inferido conclusão nossa a partir de factos confirmados; a confirmar ainda não confirmado, não deve ser tomado como certo.
Terceiros prestadores de serviços de TIC
Os terceiros prestadores de serviços de TIC estão no âmbito do artigo 2.º, n.º 1, alínea u). As obrigações das entidades financeiras sobre acordos contratuais (arts. 28.º a 30.º) passam, por contrato, para os prestadores. Os prestadores designados como críticos ficam sujeitos à superintendência das AES (art. 31.º). Veja DORA para fornecedores de serviços de TIC.
O passo seguinte
- Se a entidade está no âmbito, veja DORA em Portugal para saber qual é a autoridade competente.
- Se também está no Regime Jurídico da Cibersegurança, veja DORA e NIS2 e o Percurso NIS2.
- Para o trabalho do registo de informações, veja Registo de informações.
Perguntas frequentes
Uma microempresa está isenta do DORA?
Não. As microempresas estão abrangidas, mas beneficiam de derrogações: por exemplo, não estão obrigadas ao teste anual dos sistemas que apoiam funções críticas ou importantes (art. 24.º, n.º 6), aos TLPT (art. 26.º) nem à estratégia para o risco associado às TIC devido a terceiros (art. 28.º, n.º 2), e o quadro de gestão do risco é revisto periodicamente em vez de uma vez por ano (art. 6.º, n.º 5).
Os fornecedores de serviços de TIC estão abrangidos pelo DORA?
Os terceiros prestadores de serviços de TIC constam do art. 2.º, n.º 1, alínea u). Na prática, o impacto chega-lhes pelos acordos contratuais com as entidades financeiras (art. 30.º) e, no caso dos prestadores designados como críticos, pela superintendência das AES (art. 31.º).
Em Portugal, as caixas económicas estão abrangidas?
A Lei 73/2025 exclui as caixas económicas existentes a 1 de janeiro de 1986, exceto as que tenham a forma de sociedade anónima (art. 2.º), ao abrigo da opção do art. 2.º, n.º 4, do DORA.