DORA para fornecedores de serviços de TIC
O que os clientes financeiros vão pedir aos terceiros prestadores de serviços de TIC: devida diligência, cláusulas do artigo 30.º e dados para o registo de informações.
O que o cliente financeiro vai pedir
Quando um terceiro prestador de serviços de TIC vende a uma entidade financeira, o DORA passa a pesar no contrato: a entidade tem de avaliar o prestador antes de contratar, incluir as disposições contratuais do artigo 30.º e registar o acordo no registo de informações.
- Devida diligência antes do acordo (RD 2024/1773, art. 6.º) e avaliação preliminar do risco de concentração no domínio das TIC (art. 29.º).
- Disposições contratuais do art. 30.º, n.os 2 e 3, e cláusulas sobre subcontratação (RD 2025/532).
- Dados para o registo de informações (modelos B_02.02, B_05.01 e B_05.02): LEI ou EUID, país, empresa-mãe, tipo de serviço, localização dos dados e do tratamento e cadeia de subcontratação.
- Cooperação em incidentes: o cliente tem de cumprir os prazos de notificação (notificação inicial em 4 horas depois da classificação e 24 horas depois do conhecimento do incidente) e precisa da informação do prestador. Se a entidade subcontratar a comunicação de incidentes (DORA, art. 19.º, n.º 5), o terceiro pode enviar uma comunicação agregada em nome de várias entidades afetadas, nas condições do RE 2025/302, art. 7.º.
- Estratégia de saída para os serviços que apoiam funções críticas ou importantes (art. 28.º, n.º 8; RD 2024/1773, art. 10.º).
As disposições contratuais do artigo 30.º
Todos os acordos relativos à utilização de serviços de TIC (n.º 2)
| Alínea | Disposição |
|---|---|
| a) | Descrição clara e completa dos serviços de TIC, com indicação da possibilidade de subcontratação e das condições aplicáveis (ver RD 2025/532) |
| b) | Locais de prestação dos serviços e de tratamento dos dados, com aviso prévio em caso de mudança |
| c) | Disposições sobre disponibilidade, autenticidade, integridade e confidencialidade |
| d) | Acesso, recuperação e devolução dos dados |
| e) | Níveis de serviço |
| f) | Assistência em incidentes sem custos adicionais ou a custo previamente determinado |
| g) | Cooperação com as autoridades competentes e de resolução |
| h) | Rescisão e pré-aviso |
| i) | Participação nos programas de sensibilização e formação |
Serviços que apoiam funções críticas ou importantes (n.º 3)
Além das anteriores:
| Alínea | Disposição adicional |
|---|---|
| a) | Níveis de serviço com metas quantitativas e qualitativas |
| b) | Notificação de desenvolvimentos materiais |
| c) | Planos de contingência e medidas e ferramentas de segurança |
| d) | Participação nos TLPT da entidade financeira |
| e) | Direitos ilimitados de acesso, inspeção e auditoria (com as subalíneas i) a iv)) |
| f) | Estratégias de saída, com período de transição obrigatório |
Quando a entidade financeira é microempresa, ela e o prestador podem acordar delegar os direitos de acesso, inspeção e auditoria num terceiro independente nomeado pelo prestador (art. 30.º, n.º 3). As entidades financeiras e os terceiros prestadores de serviços de TIC preveem a utilização de cláusulas contratuais normalizadas desenvolvidas pelas autoridades públicas (art. 30.º, n.º 4).
NIS2 e DORA ao mesmo tempo
Muitos terceiros prestadores de serviços de TIC são também prestadores de serviços de TIC geridos, um setor do Anexo I da NIS2, e estão no Regime Jurídico da Cibersegurança. O mesmo prestador pode responder ao RJC pelas suas próprias medidas de segurança e ao DORA pelo contrato com cada cliente financeiro. Veja NIS2 e a gestão de serviços de TIC, a cadeia de fornecimento e DORA e NIS2.
Prestadores designados como críticos
A primeira lista de terceiros prestadores de serviços de TIC críticos foi publicada pelas AES a 18 de novembro de 2025 e inclui 19 prestadores. A lista é atualizada anualmente (art. 31.º). Os prestadores críticos têm uma autoridade fiscalizadora principal (art. 3.º, ponto 61) e ficam sujeitos à superintendência das AES, em complemento dos acordos contratuais com cada cliente.
Templates para fornecedores de serviços de TIC
O produto Fornecedores de serviços de TIC (NIS2 e DORA) inclui, em preparação:
- Aditamento contratual DORA (artigo 30.º) (Word)
- Verificação de contratos face ao artigo 30.º do DORA (Excel)
- Biblioteca de respostas a questionários de devida diligência (Excel)
- Ficha do fornecedor para o registo de informações do cliente (Excel)
- Procedimento de cooperação com o cliente em incidentes (Word)
- Plano de assistência à saída do cliente (Word)
- Mapa ISO 27001, NIS2 e DORA (Excel)
Perguntas frequentes
O artigo 30.º do DORA obriga o fornecedor a assinar um aditamento?
O artigo 30.º fixa as disposições que os acordos contratuais têm de incluir: as dos n.os 2 (todos os serviços de TIC) e 3 (serviços que apoiam funções críticas ou importantes). A forma, aditamento ou novo contrato, não está fixada pelo regulamento.
Que dados do fornecedor vão parar ao registo de informações do cliente?
O cliente financeiro pede ao prestador os dados para os modelos B_02.02, B_05.01 e B_05.02 do seu registo de informações: LEI ou EUID, tipo de pessoa, país, empresa-mãe, tipo de serviço, localização dos dados e do tratamento e cadeia de subcontratação. Os prestadores designados como críticos ficam ainda sujeitos à superintendência das AES (art. 31.º).
Um prestador de serviços de TIC geridos está no DORA e na NIS2?
Pode estar. Muitos prestadores de serviços de TIC geridos estão no Anexo I da NIS2 e, por isso, no RJC, e vendem a entidades financeiras que lhes pedem as disposições do DORA. Veja a página NIS2 e a gestão de serviços de TIC.
Fontes
- Regulamento (UE) 2022/2554 (DORA), EUR-Lex em português
- Regulamento Delegado (UE) 2024/1773, EUR-Lex em português
- Regulamento Delegado (UE) 2025/532, EUR-Lex em português
- Regulamento de Execução (UE) 2025/302, EUR-Lex em português
- AES, lista de terceiros prestadores de serviços de TIC críticos designados