DORA em Portugal: Lei 73/2025, autoridades e coimas
A camada portuguesa do regulamento: lei de execução, autoridades competentes, canais, prazos e coimas, com o estado de cada informação.
A Lei 73/2025
A Lei n.º 73/2025, de 23 de dezembro, executa o DORA em Portugal e transpõe a Diretiva (UE) 2022/2556. Tem 22 artigos e alterou, entre outros, o RGICSF, o Código dos Valores Mobiliários, o regime da atividade seguradora e o regime jurídico dos serviços de pagamento e da moeda eletrónica.
A lei não tem norma de vigência própria. Aplica-se a Lei n.º 74/98, art. 2.º: entrou em vigor a 28 de dezembro de 2025 no continente e a 7 de janeiro de 2026 nas Regiões Autónomas confirmado. A Declaração de Retificação n.º 3/2026, de 21 de janeiro, corrige apenas o art. 138.º-AH do RGICSF.
| Artigo | Tema | O que diz |
|---|---|---|
| 2.º | Âmbito | Inclui seguradoras e resseguradoras com sede em Portugal e entidades gestoras de fundos de pensões. Exclui as caixas económicas existentes em 1 de janeiro de 1986, exceto as sociedades anónimas, incluindo a Caixa Económica Montepio Geral. |
| 3.º | Autoridades competentes | Banco de Portugal, ASF e CMVM, cada uma para as entidades que supervisiona. |
| 4.º | Cooperação e CNCS | A autoridade prudencial partilha de imediato a notificação inicial com as outras autoridades (n.º 1, alínea a)). A ASF, o Banco de Portugal e a CMVM colaboram com o CNCS e podem celebrar protocolos (n.º 4). |
| 5.º | Ciberameaças voluntárias | As entidades financeiras que, a título voluntário, notifiquem uma ciberameaça significativa nos termos do art. 19.º, n.º 2, do DORA transmitem essa notificação, pelos modelos do art. 20.º, alínea b), do DORA, também às CSIRT nacionais. |
| 7.º | Regulamentação das autoridades | Alíneas a) a g): canais de incidentes, canais do registo, comunicação de acordos planeados, relatório de revisão do quadro, custos e perdas, TLPT e partilha de informação. |
| 9.º | Negligência e tentativa | A negligência reduz a metade o máximo da coima (n.º 2). A tentativa é punida com a sanção do ilícito consumado, especialmente atenuada (n.º 3). |
| 10.º | Contraordenações | N.º 1, alíneas a) a c), com 35 subalíneas na alínea c); n.º 2 residual. |
| 11.º | Coimas | Molduras por atividade e elevação do máximo (n.º 2). |
| 12.º | Publicação das condenações | Condenações graves ou muito graves divulgadas durante cinco anos, sem indexação nos motores de pesquisa. |
| 13.º, n.º 2 | Direito subsidiário | As contraordenações equiparam-se às especialmente graves e muito graves dos regimes setoriais. |
Autoridades competentes
| Autoridade | Entidades que supervisiona | TLPT |
|---|---|---|
| Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) | Empresas de seguros, empresas de resseguros, sociedades gestoras de fundos de pensões e mediadores de seguros abrangidos: residentes ou com sede em Portugal com pelo menos 250 pessoas, ou volume de negócios acima de 50 milhões de euros e balanço acima de 43 milhões de euros confirmado | Sem designação nem guia a confirmar |
| Banco de Portugal | As entidades que supervisiona (art. 3.º, n.º 1); a lista não está transcrita nesta página a confirmar. É a única autoridade que recebe incidentes e ciberameaças quando instituições de crédito distribuem seguros e quando instituições de crédito ou de pagamento prestam financiamento colaborativo (art. 3.º, n.º 2, alínea a)) confirmado | Autoridade TLPT para instituições de crédito, de pagamento e de moeda eletrónica fora da supervisão direta do BCE; o BCE para as instituições significativas confirmado |
| Comissão do Mercado de Valores Mobiliários (CMVM) | As entidades que supervisiona (art. 3.º, n.º 1); regulamento da CMVM ainda não aprovado a confirmar | Sem designação nem guia a confirmar |
As autoridades de cada setor são também as autoridades especiais de cibersegurança do RJC (DL 125/2025, art. 15.º, n.º 2, alínea b)). Veja DORA e NIS2.
Estados: confirmado lido na fonte oficial a 7 de novembro de 2026; inferido conclusão nossa a partir de factos confirmados; a confirmar ainda não confirmado, não deve ser tomado como certo.
Prazos e canais por autoridade
| Tema | ASF | Banco de Portugal | CMVM |
|---|---|---|---|
| Registo de informações | Até 28 de fevereiro, com referência a 31 de dezembro do ano anterior, pelo Portal de Operadores, no formato do pacote técnico das AES. Primeiro envio a 28 de fevereiro de 2027 inferido | Intenção de receber o mapa DORA da taxonomia da EBA, em xBRL-CSV, por BPnet/CASPER, previsivelmente a 28 de fevereiro; sem instrução para 2027 a confirmar | Projeto de regulamento: 28 de fevereiro, com referência a 31 de dezembro, pelo Balcão Único Eletrónico. Regulamento não aprovado a confirmar |
| Comunicação prévia de acordos planeados | Quatro elementos (denominação do prestador, LEI se existir, data de início, função apoiada), desde 27 de novembro de 2026: supervisao@asf.com.pt (seguradoras e resseguradoras), dfp@asf.com.pt (fundos de pensões), prudencial.mediacao@asf.com.pt (mediadores) confirmado | Sem instrumento encontrado a confirmar | Projeto: 30 dias antes, ou 60 dias para plataformas de negociação, contrapartes centrais e centrais de valores mobiliários a confirmar |
| Incidentes de caráter severo | Formulários próprios no sítio da ASF confirmado | dora_report@bportugal.pt, com o modelo normalizado; contacto provisório em vigor desde 17 de janeiro de 2025 confirmado. Canal definitivo por confirmar a confirmar | Projeto: prazos do RD 2025/301, art. 5.º, n.º 1, pelo Balcão Único Eletrónico a confirmar |
| Relatório de revisão do quadro | Disponível a pedido confirmado | Junto ao relatório de autoavaliação, até 31 de dezembro (Instrução n.º 4/2025) confirmado | Por confirmar a confirmar |
| Estimativa de custos e perdas | Disponível a pedido confirmado | Recolhida com o questionário de avaliação do risco associado às TIC no processo de supervisão (SREP); prazo a definir confirmado | Por confirmar a confirmar |
As entidades financeiras que, a título voluntário, notifiquem uma ciberameaça significativa (DORA, art. 19.º, n.º 2) transmitem a notificação também às CSIRT nacionais (Lei 73/2025, art. 5.º). Para o guia do registo de informações, veja Registo de informações.
Estados: confirmado lido na fonte oficial a 7 de novembro de 2026; inferido conclusão nossa a partir de factos confirmados; a confirmar ainda não confirmado, não deve ser tomado como certo.
Contraordenações e coimas
O artigo 11.º, n.º 1, fixa as molduras por atividade:
| Alínea | Atividades | Pessoa coletiva | Pessoa singular |
|---|---|---|---|
| Alínea a) | Instituições de crédito, empresas de investimento, centrais de valores mobiliários, entidades gestoras de mercados e sistemas, contrapartes centrais, prestadores de serviços de comunicação de dados, sociedades gestoras de organismos de investimento coletivo, instituições de pagamento, instituições de moeda eletrónica, empresas de seguros e de resseguros, prestadores de serviços de informação sobre contas, prestadores de serviços de criptoativos, administradores de índices de referência críticos, entidades gestoras de fundos de pensões. | 10.000 € a 5.000.000 € | 5.000 € a 2.500.000 € |
| Alínea b) | Mediadores de seguros, de resseguros e a título acessório. | 3.000 € a 2.500.000 € | 1.000 € a 500.000 € |
| Alínea c) | Prestadores de serviços de financiamento colaborativo. | 2.500 € a 500.000 € | 400 € a 500.000 € |
- Elevação do máximo (art. 11.º, n.º 2): o máximo sobe para o maior entre o triplo do benefício económico e, só para as contraordenações da alínea a) do n.º 1 praticadas por pessoas coletivas, 10% do volume de negócios.
- Negligência (art. 9.º, n.º 2): reduz o máximo a metade. A tentativa é punida com a sanção do ilícito consumado, especialmente atenuada (art. 9.º, n.º 3).
- Publicação (art. 12.º): as condenações graves ou muito graves são divulgadas durante cinco anos, sem indexação nos motores de pesquisa.
- Direito subsidiário (art. 13.º, n.º 2): as contraordenações equiparam-se às especialmente graves e muito graves dos regimes setoriais.
Calculadora de coimas. Simule o intervalo da coima pela Lei 73/2025 com a calculadora de coimas DORA. Para o regime da NIS2, use a calculadora de coimas NIS2.
Testes de penetração baseados em ameaças em Portugal
O Banco de Portugal publicou a versão 3.0 do guia TIBER-PT a 29 de abril de 2026 (em inglês, com perguntas frequentes e dois modelos). As entidades obrigadas aos TLPT são notificadas individualmente pelo Banco de Portugal e não há lista pública. A Lei 73/2025 não designa uma autoridade pública única para os TLPT; só prevê, no art. 7.º, alínea f), que cada autoridade possa regulamentar o reporte. Contacto do Banco de Portugal: tiber@bportugal.pt.
Perguntas frequentes
Qual é a autoridade competente do DORA em Portugal?
O Banco de Portugal, a ASF e a CMVM, cada uma para as entidades que supervisiona (Lei 73/2025, art. 3.º, n.º 1). Quando há mais de um supervisor, os arts. 19.º e 22.º, n.º 1, do DORA cabem ao supervisor prudencial (art. 3.º, n.º 5).
Quais são as coimas da Lei 73/2025?
Para as entidades da alínea a) do n.º 1 do art. 11.º (por exemplo, instituições de crédito, seguradoras e empresas de investimento), de 10 000 a 5 000 000 de euros para pessoas coletivas e de 5 000 a 2 500 000 de euros para pessoas singulares. As molduras das alíneas b) e c) e a elevação do máximo estão na tabela desta página.
Quando entrou em vigor a Lei 73/2025?
A 28 de dezembro de 2025 no continente e a 7 de janeiro de 2026 nas Regiões Autónomas, por aplicação da Lei 74/98, art. 2.º, porque a lei não tem norma de vigência própria.
Fontes
- Lei n.º 73/2025, de 23 de dezembro, Diário da República
- Norma Regulamentar n.º 6/2026-R da ASF (aprovada a 20 de outubro de 2026, publicada a 28 de outubro de 2026)
- Lei n.º 74/98, Diário da República
- Banco de Portugal, Workshop Reportes de Supervisão, 21 de novembro de 2025
- Banco de Portugal, Obrigações de reporte de outras entidades
- Banco de Portugal, guia TIBER-PT 3.0 (29 de abril de 2026)
- CMVM, Consulta Pública n.º 2/2026
- Regulamento (UE) 2022/2554 (DORA), EUR-Lex em português