O que é o DORA: os cinco pilares do Regulamento (UE) 2022/2554

A resiliência operacional digital do setor financeiro explicada em português, com os atos de nível 2 e o texto oficial.

Atualizado a 7 de novembro de 2026

O que é o DORA

O DORA é o Regulamento (UE) 2022/2554, sobre a resiliência operacional digital do setor financeiro. Estabelece, num único regulamento diretamente aplicável, os requisitos de segurança das redes e dos sistemas de informação das entidades financeiras e dos terceiros prestadores de serviços de TIC que as apoiam.

É aplicável desde 17 de janeiro de 2025 (art. 64.º) e abrange 20 tipos de entidades financeiras (art. 2.º, n.º 1, alíneas a) a t)). Foi acompanhado pela Diretiva (UE) 2022/2556, que altera as diretivas setoriais. Em Portugal, a Lei n.º 73/2025, de 23 de dezembro, executa o regulamento e transpõe essa diretiva; veja DORA em Portugal.

O princípio da proporcionalidade (art. 4.º) adapta os requisitos do capítulo sobre gestão do risco associado às TIC à dimensão e ao perfil de risco de cada entidade.

Os cinco pilares

Pilar	O que exige	Onde está
1. Gestão do risco associado às TIC	Quadro de gestão do risco associado às TIC documentado e revisto pelo menos uma vez por ano (periodicamente nas microempresas) e após incidentes de caráter severo; estratégia de resiliência operacional digital; o órgão de administração aprova a estratégia e é responsável pelo risco; quadro simplificado para as entidades do art. 16.º.	arts. 5.º a 16.º; RD 2024/1774
2. Incidentes	Processo de gestão de incidentes relacionados com as TIC; classificação; notificação inicial, relatório intercalar e relatório final dos incidentes de caráter severo; notificação voluntária de ciberameaças significativas; informação aos clientes sem demora indevida.	arts. 17.º a 19.º; RD 2024/1772, RD 2025/301, RE 2025/302
3. Testes de resiliência operacional digital	As entidades que não sejam microempresas testam pelo menos uma vez por ano os sistemas e as aplicações que apoiam funções críticas ou importantes. Os testes de penetração baseados em ameaças (TLPT) são feitos pelo menos de três em três anos, só pelas entidades identificadas pela autoridade competente, com exclusão das entidades do art. 16.º e das microempresas.	arts. 24.º a 27.º; RD 2025/1190
4. Risco associado às TIC devido a terceiros	Estratégia para o risco associado às TIC devido a terceiros; registo de informações; avaliação do risco de concentração no domínio das TIC; principais disposições contratuais; estratégias de saída para os serviços que apoiam funções críticas ou importantes.	arts. 28.º a 30.º; RD 2024/1773, RD 2025/532, RE 2024/2956
5. Partilha de informações	As entidades financeiras podem partilhar entre si informações específicas e sensíveis sobre ciberataques, em comunidades de confiança e através de acordos de partilha de informações que protejam a confidencialidade.	art. 45.º

A estes pilares junta-se a superintendência dos terceiros prestadores de serviços de TIC críticos, que o art. 31.º regula: as AES designam esses prestadores e nomeiam a autoridade fiscalizadora principal de cada um.

Os 12 atos de nível 2

O regulamento é completado por atos delegados e de execução da Comissão. Os primeiros oito aplicam-se diretamente às entidades financeiras; os últimos quatro dizem respeito à superintendência dos terceiros prestadores críticos e não se aplicam diretamente às entidades.

Ato (EUR-Lex em português)	Tema	Base no DORA
RD 2024/1774 Regulamento Delegado (UE) 2024/1774	Gestão do risco associado às TIC e quadro simplificado	arts. 15.º e 16.º, n.º 3
RD 2024/1772 Regulamento Delegado (UE) 2024/1772	Classificação de incidentes e ciberameaças	art. 18.º, n.º 3
RD 2025/301 Regulamento Delegado (UE) 2025/301	Conteúdo e prazos das notificações de incidentes	art. 20.º, alínea a)
RE 2025/302 Regulamento de Execução (UE) 2025/302	Formulários de notificação de incidentes e de ciberameaças (76 campos)	art. 20.º, alínea b)
RE 2024/2956 Regulamento de Execução (UE) 2024/2956	Modelos do registo de informações (15 modelos)	art. 28.º, n.º 9
RD 2024/1773 Regulamento Delegado (UE) 2024/1773	Política relativa aos acordos contratuais para funções críticas ou importantes	art. 28.º, n.º 10
RD 2025/532 Regulamento Delegado (UE) 2025/532	Subcontratação de serviços de TIC que apoiam funções críticas ou importantes	art. 30.º, n.º 5
RD 2025/1190 Regulamento Delegado (UE) 2025/1190	Testes de penetração baseados em ameaças (TLPT)	art. 26.º, n.º 11
RD 2024/1502 Regulamento Delegado (UE) 2024/1502	Critérios de designação dos terceiros prestadores de serviços de TIC críticos	art. 31.º, n.º 6
RD 2024/1505 Regulamento Delegado (UE) 2024/1505	Taxas de superintendência dos terceiros prestadores críticos	art. 43.º, n.º 2
RD 2025/295 Regulamento Delegado (UE) 2025/295	Condições da superintendência	art. 41.º
RD 2025/420 Regulamento Delegado (UE) 2025/420	Composição da equipa de avaliação conjunta	art. 41.º

Fora dos 12 atos, as AES publicaram orientações conjuntas sobre a estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo (JC 2024 34, DORA art. 11.º), aplicáveis desde 19 de maio de 2025.

Terceiros prestadores de serviços de TIC críticos

As AES designam os terceiros prestadores de serviços de TIC críticos para as entidades financeiras (art. 31.º). A primeira lista foi publicada a 18 de novembro de 2025 e inclui 19 prestadores; a designação partiu dos registos de informações das entidades financeiras. A lista é atualizada anualmente. Os contratos com estes prestadores são os que mais pesam no registo de informações. Veja DORA para fornecedores de serviços de TIC.

Texto oficial

Regulamento (UE) 2022/2554 (DORA), versão portuguesa no EUR-Lex.
Cada ato de nível 2 tem ligação para o EUR-Lex na tabela acima.
O verificador A quem se aplica o DORA e o guia A quem se aplica usam o artigo 2.º.

Perguntas frequentes

Desde quando se aplica o DORA?

O DORA é aplicável desde 17 de janeiro de 2025 e é diretamente aplicável em todos os Estados-Membros (art. 64.º). A revisão geral do regulamento está prevista até 17 de janeiro de 2028 (art. 58.º, n.º 1).

O que são os atos de nível 2 do DORA?

São regulamentos delegados e de execução da Comissão que concretizam o regulamento: gestão do risco associado às TIC, classificação e notificação de incidentes, modelos do registo de informações, política contratual, subcontratação, TLPT e regras sobre os terceiros prestadores críticos. A tabela desta página lista os 12 atos.

Onde posso ler o texto oficial do DORA em português?

No EUR-Lex, na versão portuguesa do Regulamento (UE) 2022/2554. A ligação está na secção Texto oficial desta página.