DORA e NIS2: como se articulam
O que muda e o que não muda para as entidades financeiras que estão também no Regime Jurídico da Cibersegurança.
Em resposta curta
O DORA é um ato setorial da União para as entidades financeiras: nesta matéria aplica-se em vez das regras da NIS2 (art. 4.º da Diretiva (UE) 2022/2555; art. 1.º, n.º 2, do DORA), sem prejuízo do RJC (art. 3.º, n.º 9, do DL 125/2025).
Na prática, uma entidade financeira portuguesa que também está no Regime Jurídico da Cibersegurança segue o DORA para a gestão do risco associado às TIC, a notificação dos incidentes de caráter severo e o controlo dos terceiros prestadores de serviços de TIC, e mantém do RJC o Responsável de Cibersegurança, o ponto de contacto permanente e a notificação de incidentes.
Os dois regimes lado a lado
| Tema | DORA | NIS2 (RJC) |
|---|---|---|
| Fonte | Regulamento (UE) 2022/2554, diretamente aplicável; Lei 73/2025 em Portugal | Diretiva (UE) 2022/2555, transposta pelo DL 125/2025 |
| Quem | 20 tipos de entidades financeiras e terceiros prestadores de serviços de TIC | Entidades essenciais e importantes dos setores dos Anexos I e II |
| Autoridade | Banco de Portugal, ASF e CMVM, cada uma para as entidades que supervisiona | CNCS; Banco de Portugal, ASF e CMVM são autoridades especiais de cibersegurança (DL 125/2025, art. 15.º, n.º 2, alínea b)) |
| Gestão do risco | Art. 6.º; RD 2024/1774 | Art. 27.º do RJC; Regulamento 756/2026 |
| Incidentes | Notificação inicial, relatório intercalar e relatório final (RD 2025/301, art. 5.º; RE 2025/302) | Notificação ao CNCS (RJC, arts. 40.º a 44.º); veja o simulador de notificação |
| Terceiros | Arts. 28.º a 30.º; registo de informações; estratégias de saída | Medidas de segurança da cadeia de fornecimento (RJC, art. 27.º; Regulamento 756/2026, Anexo III) |
| Sanções | Lei 73/2025, arts. 10.º e 11.º | DL 125/2025; veja Penalizações |
O que está e o que não está esclarecido sobre a notificação
| Ponto | Estado |
|---|---|
| As entidades financeiras notificam os incidentes do DORA ao supervisor financeiro (Regulamento 756/2026, art. 10.º, n.º 2). | confirmado |
| Mantêm a designação do Responsável de Cibersegurança, o ponto de contacto permanente e a notificação de incidentes do RJC (art. 10.º, n.º 3). | confirmado |
| Os supervisores comunicam os incidentes ao CNCS (DL 125/2025, arts. 49.º, n.º 1, e 59.º, n.º 1). | confirmado |
| A notificação simultânea pela plataforma do CNCS depende de protocolo (DL 125/2025, art. 40.º, n.º 7); o protocolo não foi encontrado. | a confirmar |
| Se a entidade nos dois regimes faz duas notificações na prática, ou se o supervisor reencaminha. | a confirmar |
O RD 2025/301, art. 5.º, n.º 5, tem uma consequência para quem está nos dois regimes: o benefício do fim de semana e dos feriados (entrega até ao meio-dia do dia útil seguinte) não se aplica à notificação inicial nem ao relatório intercalar das instituições de crédito, das contrapartes centrais, dos operadores de plataformas de negociação e das entidades essenciais ou importantes da NIS2.
Estados: confirmado lido na fonte oficial a 7 de novembro de 2026; inferido conclusão nossa a partir de factos confirmados; a confirmar ainda não confirmado, não deve ser tomado como certo.
Quem está nos dois regimes
- Banca: NIS2 no setor bancário.
- Infraestruturas do mercado financeiro: NIS2 no setor dos mercados financeiros.
- Prestadores de serviços de TIC geridos que vendem a entidades financeiras: NIS2 e a gestão de serviços de TIC e DORA para fornecedores de serviços de TIC.
Para reaproveitar trabalho entre os dois regimes, use a matriz de sobreposição DORA e NIS2 e o Percurso NIS2, que tem um desvio DORA para entidades financeiras. Para saber se o DORA se aplica, veja A quem se aplica.
Perguntas frequentes
O DORA substitui a NIS2 para as entidades financeiras?
Não por completo. O DORA aplica-se à gestão do risco associado às TIC em vez das regras da NIS2 nessa matéria (art. 4.º da Diretiva (UE) 2022/2555; art. 1.º, n.º 2, do DORA), sem prejuízo do RJC (DL 125/2025, art. 3.º, n.º 9). As entidades financeiras mantêm a designação do Responsável de Cibersegurança, o ponto de contacto permanente e a notificação de incidentes do RJC (Regulamento 756/2026, art. 10.º, n.º 3).
A quem notifico um incidente se estou no DORA e na NIS2?
As entidades financeiras notificam os incidentes do DORA ao supervisor financeiro (Regulamento 756/2026, art. 10.º, n.º 2) e mantêm a notificação de incidentes do RJC (n.º 3). Se a entidade faz duas notificações na prática ou se o supervisor reencaminha, está por confirmar com as autoridades competentes.
Quem está nos dois regimes?
As entidades financeiras que sejam entidades essenciais ou importantes do RJC, como a banca e as infraestruturas do mercado financeiro, e os prestadores de serviços de TIC geridos que vendem a entidades financeiras.