DORA e treinamento de conscientização sobre segurança: o que o Artigo 13 exige de cada funcionário (2026)

Em resumo: A Lei de Resiliência Operacional Digital (DORA, Regulamento (UE) 2022/2554) está em vigor para bancos, seguradoras, empresas de investimento, instituições de pagamento, fundos de pensão e outras entidades financeiras na UE desde 17 de janeiro de 2025. O artigo 13, parágrafo 6, torna os programas de conscientização sobre segurança de TIC e o treinamento em resiliência operacional digital módulos obrigatórios na capacitação de pessoal, tanto para todos os funcionários quanto para a alta administração, com um nível de aprofundamento adequado a cada função. O artigo 5 atribui a responsabilidade final pelos riscos de TIC ao órgão de administração, que deve destinar recursos orçamentários para essa capacitação e manter seus próprios conhecimentos atualizados por meio de treinamentos regulares e específicos. Na Holanda, o DNB e a AFM supervisionam o cumprimento da lei e podem aplicar multas. O que elas querem ver são evidências: quem foi treinado, sobre o quê, com que frequência e se isso mudou o comportamento.

Visão geral dos requisitos de treinamento do DORA

A DORA não possui um capítulo específico sobre treinamento. As obrigações estão distribuídas por vários artigos e uma norma técnica. É isso que elas significam e o que deve ser apresentado quando o supervisor perguntar.

Quem está sujeito à DORA

O Artigo 2º, parágrafo 1º, enumera vinte tipos de entidades financeiras. Entre elas: instituições de crédito, instituições de pagamento e de moeda eletrônica, empresas de investimento, prestadores de serviços de criptoativos, plataformas de negociação, gestores de fundos, seguradoras, intermediários de seguros, instituições de previdência, agências de classificação de risco e plataformas de financiamento coletivo.

Há exceções. Os intermediários de seguros que sejam micro, pequenas ou médias empresas estão fora do escopo, assim como as instituições de previdência com no máximo 15 membros no total. As pequenas empresas de investimento não interconectadas, as instituições de pagamento e de dinheiro eletrônico isentas e as pequenas instituições de previdência operam sob um quadro simplificado de riscos de TIC, conforme previsto no Artigo 16. Mesmo esse regime mais flexível ainda exige que elas desenvolvam programas de conscientização e treinamento em resiliência para a equipe e a administração, “de acordo com as necessidades e o perfil de risco de TIC”.

Os prestadores de serviços terceirizados de TIC são o último item da lista. A maioria está sujeita à DORA por meio dos contratos com seus clientes. Os maiores são supervisionados diretamente: em 18 de novembro de 2025, as Autoridades Europeias de Supervisão publicaram a primeira lista de prestadores terceirizados críticos de TIC, composta por 19 empresas que vão desde serviços de nuvem em hiperescala até software financeiro.

Os cinco pilares em resumo

O Artigo 1º define o que a DORA regulamenta, geralmente agrupado em cinco pilares:

• Gestão de riscos de TIC. Uma estrutura documentada, governança e controles (Artigos 5 a 16). A capacitação se enquadra nessa seção.
• Notificação de incidentes. Classificar os principais incidentes relacionados às TIC e comunicá-los ao supervisor.
• Testes de resiliência operacional digital. Um programa de testes baseado em riscos e, para entidades designadas, testes de penetração orientados por ameaças pelo menos a cada três anos (Artigo 26).
• Risco de terceiros em TIC. Requisitos contratuais, um registro anual de informações e supervisão de prestadores de serviços essenciais.
• Compartilhamento de informações. Troca voluntária de informações sobre ameaças entre entidades financeiras.

O que o Artigo 13, parágrafo 6, diz sobre a formação

A frase principal é curta. “As entidades financeiras deverão desenvolver programas de conscientização sobre segurança em TIC e treinamento em resiliência operacional digital como módulos obrigatórios em seus planos de capacitação de pessoal. Esses programas e treinamentos deverão ser aplicáveis a todos os funcionários e à alta administração, e deverão ter um nível de complexidade compatível com o escopo de suas funções.”

Três palavras definem o peso da questão. “Obrigatório” significa que um curso opcional de e-learning na intranet não se enquadra. “Todos” significa tanto a recepcionista quanto o diretor financeiro, e não apenas uma seleção de funções de alto risco. “Proporcional” significa que um módulo genérico para todos também não é suficiente: um desenvolvedor com acesso à produção precisa de um conteúdo mais aprofundado do que um colega da área de instalações. O mesmo parágrafo acrescenta que, quando apropriado, prestadores de serviços terceirizados de TIC devem ser incluídos no treinamento, e o Artigo 30(2)(i) exige que os contratos estabeleçam as condições para isso.

O Artigo 13 é intitulado “Aprendendo e evoluindo”: os incidentes e os resultados dos testes devem ser incorporados ao quadro. Um programa que nunca muda após um incidente real de phishing não se encaixa nessa lógica.

Artigo 5º: a diretoria é responsável por

Nos termos do Artigo 5º, parágrafo 2º, o órgão de gestão define, aprova, supervisiona e é responsável por todo o quadro de gestão de riscos de TIC. A alínea (a) atribui-lhe “a responsabilidade final pela gestão dos riscos de TIC da entidade financeira”. A alínea (g) determina que ele aloque e revise periodicamente o orçamento, incluindo explicitamente os programas de conscientização e treinamento previstos no Artigo 13º, parágrafo 6º.

O Artigo 5º, parágrafo 4º, volta-se então para os próprios membros do conselho: eles “devem manter-se ativamente atualizados com conhecimentos e habilidades suficientes para compreender e avaliar os riscos de TIC e seu impacto nas operações da entidade financeira, inclusive por meio da participação regular em treinamentos específicos, proporcionais ao risco de TIC que está sendo gerenciado”. A DNB incluiu essa frase em seus próprios slides destinados às seguradoras em novembro de 2024. A mesma lógica permeia a NIS2: nosso artigo sobre a NIS2 e a responsabilidade do conselho de administração explica como funciona a responsabilidade pessoal nesse contexto, e a formação de executivos mostra como pode ser um programa para o conselho de administração.

O que o DNB e a AFM esperam

Na Holanda, o DNB e a AFM supervisionam a DORA. O DNB anunciou, em dezembro de 2024, que a DORA substitui o documento “Good Practice Informatiebeveiliging 2023” para as entidades abrangidas e que opera com base no risco e de forma proporcional: questionários, conversas e inspeções in loco, apoiados por medidas que vão desde uma carta até uma multa. O governo holandês confirma que ambas as autoridades reguladoras podem aplicar multas a uma instituição financeira que não cumpra as exigências.

A conscientização não é uma questão secundária para eles. Em uma apresentação para seguradoras em 12 de novembro de 2024, a DNB listou os resultados de suas inspeções de 2024. Uma delas: é preciso dedicar mais atenção aos programas de conhecimento e conscientização. A AFM havia publicado, no início daquele ano, um informativo baseado em uma autoavaliação de 2023 realizada por 212 empresas de investimento. No tema “conscientização e treinamento”, 37% ainda não atendiam ao nível esperado. Esses números são anteriores à DORA, mas mostram em que áreas o órgão regulador esperava que houvesse trabalho: é provável que a questão sobre treinamento venha acompanhada de uma solicitação de dados numéricos.

Como a DORA se relaciona com a NIS2

Muitas entidades financeiras também são consideradas entidades essenciais ou importantes nos termos da NIS2. O Artigo 1º, parágrafo 2º, da DORA resolve essa sobreposição: para essas entidades, a DORA é considerada um ato jurídico da União específico do setor, nos termos do Artigo 4º da Diretiva NIS2. Na prática, a DORA prevalece quando ambas as normas abrangem o mesmo âmbito, razão pela qual é frequentemente chamada de lex specialis. O governo holandês deixa isso bem claro: quando as normas se sobrepõem, as disposições da DORA prevalecem para as instituições financeiras.

Na Holanda, a NIS2 está incorporada na Lei de Segurança Cibernética (Cyberbeveiligingswet), em vigor desde 15 de agosto de 2026. Para um banco ou seguradora, isso significa que a DORA é o principal marco para riscos de TIC e treinamento, enquanto a NIS2 continua sendo relevante para entidades do grupo e fornecedores fora do âmbito financeiro. Nosso guia sobre a NIS2 para 2026 aborda quem está sujeito à norma, e a comparação entre a NIS1 e a NIS2 explica como o escopo se ampliou.

Um plano prático de implementação

1. Relacione as funções aos riscos. Liste as funções que envolvem autoridade para efetuar pagamentos, acesso à produção, dados de clientes ou contato com fornecedores. Essas funções recebem uma análise mais aprofundada; todos recebem a informação básica.
2. Registre por escrito a decisão do conselho. O orçamento, o escopo e o próprio programa de treinamento do conselho devem ser aprovados na ata, conforme exigem o Artigo 5, parágrafo 2, alínea g), e o Artigo 5, parágrafo 4.
3. Torne a linha de base obrigatória e contínua. Um ritmo curto e recorrente ao longo do ano funciona melhor do que um único módulo anual e fornece dados todos os meses.
4. Adicione simulações de phishing e um canal de denúncia. Avalie quem clica e quem faz a denúncia, e certifique-se de que todos saibam onde fazer a denúncia.
5. Incluir os fornecedores. Adicionar a cláusula de treinamento prevista no Artigo 30, parágrafo 2, alínea i, aos contratos de TIC novos e renovados.
6. Feche o ciclo. Após cada incidente grave ou teste, ajuste o conteúdo, registre a alteração e inclua-a no relatório anual destinado ao órgão de gestão.

Como as simulações de phishing e o treinamento contínuo geram as evidências

A DORA não menciona especificamente as simulações de phishing. O Artigo 25 enumera os testes que um programa de testes de resiliência pode incluir, desde varreduras de vulnerabilidades até testes baseados em cenários, e deixa a escolha a cargo da entidade. As simulações continuam sendo a maneira mais direta de demonstrar que o treinamento muda o comportamento e se enquadram no Artigo 13(4), que exige que as entidades monitorem a eficácia de sua estratégia de resiliência. Um certificado de conclusão comprova que alguém participou de um módulo. Uma queda na taxa de cliques e um aumento na taxa de denúncias indicam que o treinamento surtiu efeito.

É também aí que a capacitação contínua faz a diferença. Com o Guardey, cada funcionário participa de um desafio gamificado de cerca de três minutos por semana, as equipes competem em um quadro de líderes e são incluídas simulações de phishing. O resultado é um registro por pessoa, por semana, que você pode apresentar ao auditor em relatórios aceitos pela NIS2, ISO 27001 e mais de 40 outras normas. Já trabalha com a ISO 27001? Nosso guia para o treinamento de conscientização de segurança da ISO 27001 se alinha perfeitamente à DORA.

Perguntas frequentes

A capacitação em conscientização sobre segurança é obrigatória nos termos da DORA?

Sim. O Artigo 13, parágrafo 6, exige que os programas de conscientização sobre segurança em TIC e o treinamento em resiliência operacional digital sejam módulos obrigatórios na capacitação do pessoal, tanto para todos os funcionários quanto para a alta administração. As entidades sujeitas ao regime simplificado previsto no Artigo 16 também devem oferecê-los, de acordo com suas necessidades e perfil de risco.

O conselho precisa receber treinamento no âmbito da DORA?

Sim. O Artigo 5º, parágrafo 4º, exige que os membros do órgão de administração mantenham seus conhecimentos e habilidades atualizados, inclusive por meio da participação regular em treinamentos específicos, de forma proporcional ao risco de TIC que está sendo gerenciado.

Desde quando a DORA entra em vigor?

Desde 17 de janeiro de 2025. O DORA é um regulamento, portanto, aplica-se diretamente em todos os Estados-membros, sem necessidade de transposição para a legislação nacional.

A DORA substitui a NIS2 para as entidades financeiras?

Nos casos em que ambas as normas tratem do mesmo assunto, a DORA prevalece. O Artigo 1º, parágrafo 2º, estabelece que a DORA é a lei setorial específica para entidades financeiras que também sejam consideradas entidades essenciais ou importantes nos termos da NIS2.

Quem supervisiona a DORA na Holanda?

O DNB e a AFM, cada um em relação às suas próprias entidades. As Autoridades Europeias de Supervisão supervisionam os prestadores terceirizados de TIC de importância crítica.