A DORA e a formação em sensibilização para a segurança: o que o artigo 13.º exige de cada colaborador (2026)

Em resumo: A Lei sobre a Resiliência Operacional Digital (DORA, Regulamento (UE) 2022/2554) aplica-se a bancos, seguradoras, empresas de investimento, instituições de pagamento, fundos de pensões e outras entidades financeiras na UE desde 17 de janeiro de 2025. O n.º 6 do artigo 13.º torna os programas de sensibilização para a segurança das TIC e a formação em resiliência operacional digital módulos obrigatórios na formação do pessoal, tanto para todos os colaboradores como para a direção, com um nível de aprofundamento adequado a cada função. O artigo 5.º atribui a responsabilidade final pelos riscos das TIC ao órgão de gestão, que tem de prever verbas no orçamento para essa formação e manter os seus próprios conhecimentos atualizados através de formação regular e específica. Na Holanda, o DNB e a AFM supervisionam o cumprimento da lei e podem aplicar multas. O que eles querem ver são provas: quem recebeu formação, sobre o quê, com que frequência e se isso alterou o comportamento.

Resumo dos requisitos de formação do DORA

A DORA não tem um capítulo específico sobre formação. As obrigações estão distribuídas por vários artigos e por uma norma técnica. É isto que significam e o que deves apresentar quando o supervisor te perguntar.

Quem está abrangido pela DORA

O n.º 1 do artigo 2.º enumera vinte tipos de entidades financeiras. Entre elas: instituições de crédito, instituições de pagamento e de moeda eletrónica, empresas de investimento, prestadores de serviços de criptoativos, plataformas de negociação, gestores de fundos, seguradoras, intermediários de seguros, instituições de pensões, agências de notação de risco e plataformas de financiamento coletivo.

Há exceções. Os intermediários de seguros que sejam micro, pequenas ou médias empresas ficam fora do âmbito de aplicação, tal como as instituições de pensões com um máximo de 15 membros no total. As pequenas empresas de investimento não interligadas, as instituições de pagamento e de moeda eletrónica isentas e as pequenas instituições de pensões operam ao abrigo de um quadro simplificado de risco de TIC previsto no artigo 16.º. Mesmo esse regime mais flexível exige que desenvolvam programas de sensibilização e formação em resiliência para o pessoal e a direção, «de acordo com as necessidades e o perfil de risco de TIC».

Os prestadores de serviços de TIC de terceiros são o último ponto da lista. A maioria cumpre o DORA através dos contratos com os seus clientes. Os maiores são supervisionados diretamente: a 18 de novembro de 2025, as Autoridades Europeias de Supervisão publicaram a primeira lista de prestadores de serviços de TIC de terceiros críticos, composta por 19 empresas que vão desde serviços de nuvem em hiperescala até software financeiro.

Os cinco pilares em resumo

O artigo 1.º define o âmbito de aplicação da DORA, que costuma ser agrupado em cinco pilares:

• Gestão de riscos das TIC. Um quadro documentado, governação e controlos (artigos 5.º a 16.º). A formação faz parte desta área.
• Comunicação de incidentes. Classificar os incidentes graves relacionados com as TIC e comunicá-los ao supervisor.
• Testes de resiliência operacional digital. Um programa de testes baseado no risco e, para as entidades designadas, testes de penetração orientados para as ameaças, pelo menos de três em três anos (artigo 26.º).
• Risco de terceiros no domínio das TIC. Requisitos contratuais, um registo anual de informações e supervisão dos fornecedores críticos.
• Partilha de informação. Intercâmbio voluntário de informações sobre ameaças entre entidades financeiras.

O que diz o n.º 6 do artigo 13.º sobre a formação

A frase principal é curta. «As entidades financeiras devem desenvolver programas de sensibilização para a segurança das TIC e formação em resiliência operacional digital como módulos obrigatórios nos seus planos de formação do pessoal. Esses programas e formação devem aplicar-se a todos os colaboradores e aos quadros de direção, e devem ter um nível de complexidade adequado ao âmbito das respetivas funções.»

São três palavras que fazem toda a diferença. «Obrigatório» significa que uma formação online opcional na intranet não conta. «Todos» significa tanto o recepcionista como o diretor financeiro, e não apenas uma seleção de funções de alto risco. «Proporcional» significa que um módulo genérico para toda a gente também não é suficiente: um programador com acesso à produção precisa de formação mais aprofundada do que um colega das instalações. O mesmo parágrafo acrescenta que, quando apropriado, os prestadores de serviços externos de TIC devem ser incluídos na formação, e o artigo 30.º, n.º 2, alínea i), exige que os contratos estabeleçam as condições para isso.

O artigo 13.º intitula-se «Aprender e evoluir»: os incidentes e os resultados dos testes têm de ser incorporados no quadro. Um programa que nunca muda depois de um incidente real de phishing não se enquadra nessa lógica.

Artigo 5.º: a direção é responsável por

Nos termos do n.º 2 do artigo 5.º, o órgão de gestão define, aprova, supervisiona e é responsável por todo o quadro de gestão de riscos de TIC. A alínea a) atribui-lhe «a responsabilidade final pela gestão dos riscos de TIC da entidade financeira». A alínea g) obriga-o a atribuir e a rever periodicamente o orçamento, incluindo explicitamente os programas de sensibilização e formação previstos no n.º 6 do artigo 13.º.

O n.º 4 do artigo 5.º passa depois a abordar os próprios membros do conselho de administração: estes «devem manter-se ativamente a par dos conhecimentos e competências necessários para compreender e avaliar os riscos das TIC e o seu impacto nas operações da entidade financeira, nomeadamente através da frequência regular de formação específica, adequada aos riscos das TIC que estão a ser geridos». A DNB incluiu essa frase nos seus próprios slides destinados às seguradoras, em novembro de 2024. A mesma lógica aplica-se à NIS2: o nosso artigo sobre a NIS2 e a responsabilidade do conselho de administração explica como funciona a responsabilidade pessoal nesse contexto, e a formação para executivos mostra como pode ser um programa para o conselho de administração.

O que esperam os supervisores: o exemplo da DNB e da AFM

Na Holanda, o DNB e a AFM supervisionam a DORA. O DNB anunciou, em dezembro de 2024, que a DORA substitui o seu documento «Good Practice Informatiebeveiliging 2023» para as entidades abrangidas e que funciona com base no risco e de forma proporcional: questionários, conversas e inspeções no local, apoiados por medidas que vão desde uma carta até uma multa. O governo holandês confirma que ambas as entidades reguladoras podem multar uma empresa financeira que não cumpra as regras. Em Portugal, a supervisão da DORA cabe ao Banco de Portugal, à CMVM e à ASF, cada um no seu setor.

A sensibilização não é uma questão secundária para eles. Numa apresentação às seguradoras a 12 de novembro de 2024, a DNB enumerou os resultados das suas inspeções de 2024. Uma delas: é preciso dar mais atenção aos programas de formação e sensibilização. A AFM tinha publicado uma ficha informativa no início desse ano, com base numa autoavaliação de 2023 feita por 212 empresas de investimento. No que diz respeito ao tema «sensibilização e formação», 37 por cento ainda não atingiam o nível esperado. Esses números são anteriores à DORA, mas mostram onde o regulador esperava que se trabalhasse: conta com que a questão da formação venha acompanhada de um pedido de números.

Como é que a DORA se relaciona com a NIS2

Muitas entidades financeiras também são consideradas entidades essenciais ou importantes ao abrigo da NIS2. O n.º 2 do artigo 1.º da DORA resolve esta sobreposição: para essas entidades, a DORA é considerada um ato jurídico da União específico do setor, na aceção do artigo 4.º da Diretiva NIS2. Na prática, a DORA tem precedência quando ambas as normas abrangem o mesmo âmbito, razão pela qual é frequentemente designada como a «lex specialis». O governo holandês é claro: quando as regras se sobrepõem, as disposições da DORA prevalecem para as instituições financeiras.

Na Holanda, a NIS2 está implementada na Lei de Cibersegurança (Cyberbeveiligingswet), em vigor desde 15 de agosto de 2026. Para um banco ou seguradora, isso significa que a DORA é o principal quadro de referência para o risco de TIC e a formação, enquanto a NIS2 continua a ser relevante para as entidades do grupo e fornecedores fora do âmbito financeiro. O nosso guia da NIS2 para 2026 aborda quem está abrangido por esta regulamentação, e a comparação entre a NIS1 e a NIS2 explica como o âmbito de aplicação se alargou. Em Portugal, a NIS2 foi transposta pelo Decreto-Lei n.º 125/2025, que criou o novo Regime Jurídico da Cibersegurança.

Um plano prático de implementação

1. Associa as funções aos riscos. Faz uma lista das funções que envolvem autoridade de pagamento, acesso à produção, dados de clientes ou contacto com fornecedores. Essas funções recebem uma análise mais aprofundada; toda a gente fica a saber o básico.
2. Põe a decisão do conselho por escrito. O orçamento, o âmbito e o próprio programa de formação do conselho têm de ser aprovados na ata, tal como exigido pelo artigo 5.º, n.º 2, alínea g), e n.º 4.
3. Torna a linha de base obrigatória e contínua. Um ritmo curto e recorrente ao longo do ano funciona melhor do que um módulo anual e dá-te dados todos os meses.
4. Adiciona simulações de phishing e um canal de denúncia. Analisa quem clica e quem denuncia, e certifica-te de que toda a gente sabe onde deve denunciar.
5. Inclui os fornecedores. Adiciona a cláusula relativa à formação prevista no artigo 30.º, n.º 2, alínea i), aos contratos de TIC novos e renovados.
6. Fecha o ciclo. Depois de cada incidente grave ou teste, ajusta o conteúdo, regista a alteração e inclui-a no relatório anual destinado ao órgão de gestão.

Como é que as simulações de phishing e a formação contínua fornecem as provas

A DORA não menciona especificamente as simulações de phishing. O artigo 25.º enumera os testes que um programa de testes de resiliência pode incluir, desde análises de vulnerabilidades até testes baseados em cenários, e deixa a escolha a cargo da entidade. As simulações continuam a ser a forma mais direta de mostrar que a formação muda o comportamento e estão em conformidade com o artigo 13.º, n.º 4, que exige que as entidades monitorizem a eficácia da sua estratégia de resiliência. Um certificado de conclusão mostra que alguém completou um módulo. Uma taxa de cliques em queda e uma taxa de denúncias em alta mostram que funcionou.

É também aí que a formação contínua dá frutos. Com o Guardey, cada colaborador participa num desafio gamificado de cerca de três minutos por semana, as equipas competem numa tabela de classificação e são incluídas simulações de phishing. O resultado é um registo por pessoa, por semana, que podes entregar ao auditor em relatórios aceites pela NIS2, pela ISO 27001 e por mais de 40 outras normas. Já trabalhas com a ISO 27001? O nosso guia de formação em sensibilização para a segurança da ISO 27001 alinha-se perfeitamente com a DORA.

Perguntas mais frequentes

A formação em sensibilização para a segurança é obrigatória ao abrigo da DORA?

Sim. O n.º 6 do artigo 13.º exige que os programas de sensibilização para a segurança das TIC e a formação em resiliência operacional digital sejam módulos obrigatórios na formação do pessoal, tanto para todos os colaboradores como para a direção. As entidades abrangidas pelo regime simplificado do artigo 16.º também têm de os disponibilizar, de acordo com as suas necessidades e perfil de risco.

O conselho de administração tem de receber formação ao abrigo da DORA?

Sim. O n.º 4 do artigo 5.º exige que os membros do órgão de gestão mantenham os seus conhecimentos e competências atualizados, nomeadamente através da frequência regular de formação específica, de forma proporcional ao risco de TIC que estão a gerir.

Desde quando é que a DORA se aplica?

Desde 17 de janeiro de 2025. O DORA é um regulamento, pelo que se aplica diretamente em todos os Estados-Membros, sem necessidade de transposição para a legislação nacional.

A DORA substitui a NIS2 para as entidades financeiras?

Quando ambas as normas abrangem o mesmo âmbito, a DORA tem precedência. O n.º 2 do artigo 1.º estabelece que a DORA é a lei setorial aplicável às entidades financeiras que também sejam consideradas entidades essenciais ou importantes ao abrigo da NIS2.

Quem supervisiona a DORA em Portugal?

O Banco de Portugal, a CMVM e a ASF, cada um para as suas entidades. Nos Países Baixos são a DNB e a AFM. As Autoridades Europeias de Supervisão supervisionam os prestadores terceiros críticos de serviços de TIC.