Preparação dos CISO para a Lei de Resiliência Operacional Digital da UE

A União Europeia (UE) introduziu a Lei de Resiliência Operacional Digital (DORA, na sigla em inglês) com o objetivo de ajudar as instituições financeiras a manterem-se resilientes contra ameaças, sobretudo numa altura em que o setor financeiro está entre os principais alvos dos cibercriminosos.

Bancos, empresas de investimento, instituições de crédito, empresas de auditoria, agências de notação de crédito, prestadores de serviços de criptoativos e plataformas de financiamento colaborativo serão abrangidas pelo novo regulamento que entrará em vigor a 17 de janeiro de 2025. Tendo em conta que é aplicado a fornecedores de serviços terceiros, incluindo fornecedores de infraestrutura, como operadores de data centers e fornecedores de serviços em cloud, também devem seguir os padrões estabelecidos no DORA.

Os objetivos desta lei passam por proporcionar uma estrutura abrangente para a gestão de riscos no setor financeiro e harmonizar os regulamentos de gestão de riscos em toda a UE, onde atualmente existem regras diferentes em cada país. 

No entanto, alcançar a conformidade com o DORA até janeiro de 2025 não será fácil, segundo o meio de comunicação CSO. Muitos CISO podem enfrentar desafios, uma vez que que cinco dos dezasseis executivos e líderes de programas questionados duvidavam que cumpririam o prazo, sendo que apenas cinco deles estavam confiantes na sua capacidade de cumprir, de acordo com a pesquisa de McKinsey, realizada em março de 2024.

O DORA exige às entidades financeiras que identifiquem, rastreiem e relatem incidentes relacionados às TIC, com critérios para avaliar o impacto dos incidentes. Além disso, devem realizar testes regulares de resiliência e gerenciamento de riscos de terceiros.

Dentro dos próximos seis meses, a perspetiva é de que os CISO garantam que as organizações estejam a acelerar os seus esforços e a aplicar todas as políticas de segurança exigidas pela nova lei. Além disso, devem entender como o DORA interage com outros regulamentos, como a diretiva NIS2, já que em áreas onde o DORA não tem requisitos específicos, a NIS-2 tem precedência. Os Estados-membros da UE devem adotar a diretiva NIS-2 até 17 de outubro deste ano.

A CSO refere ainda que o DORA pode ter impacto global, e não apenas na Europa. Se for bem-sucedida, outras regiões podem adotar regulamentos semelhantes para fortalecer a preparação de bancos e empresas financeiras contra incidentes tecnológicos. Além disso, também tem potencial para impactar noutros setores como o da energia e das comunicações.