DORA: como classificar e reportar um incidente ICT sem perder o relógio
A notificação inicial não é um relatório final antecipado. DORA separa classificação, comunicação inicial, atualização intermédia e fecho para que a autoridade receba cedo o essencial e depois a evidência consolidada.
- Natureza
- Guia operacional para entidades financeiras abrangidas por DORA
- Base
- DORA e Regulamentos 2024/1772, 2025/301 e 2025/302
- Publicado e verificado
- 4 de agosto de 2026
- Limite
- Confirme autoridade competente, exceções de calendário e requisitos setoriais aplicáveis
Em resumo
Um incidente torna-se major quando afeta serviços críticos e cumpre as condições do regulamento de classificação: acesso malicioso não autorizado com perda de dados relevante ou, em alternativa, pelo menos dois outros limiares aplicáveis. Depois da classificação, a entidade reporta tão cedo quanto possível e, em regra, até quatro horas, sem ultrapassar 24 horas desde que tomou conhecimento; seguem-se o intermédio até 72 horas após o inicial e o final até um mês após o intermédio ou a atualização mais recente. O processo precisa de dois trilhos: decisão regulatória com relógio próprio e investigação técnica que continua a melhorar os factos.
- O relógio de 24 horas começa no conhecimento do incidente; o de quatro horas liga-se à classificação como major.
- Se a classificação major ocorrer depois das 24 horas, a notificação inicial continua a ser devida até quatro horas depois dessa classificação.
- O intermédio é devido até 72 horas após o inicial, mesmo quando não existe mudança material a reportar.
- Incidentes recorrentes com aparente causa comum podem ser agregados; a avaliação deve ser repetida mensalmente.
A decisão major exige serviço crítico e um teste cumulativo
Comece por determinar se o incidente afetou serviços críticos. Sem esse primeiro elemento, não aplique mecanicamente a fórmula de major. Quando existe impacto crítico, teste o acesso malicioso não autorizado associado ao limiar de perda de dados ou conte quantos dos restantes limiares foram atingidos.
Registe valores observados e intervalos quando ainda há incerteza. A decisão não deve esperar pela causa-raiz final: use o melhor facto disponível, assinale a confiança e reclassifique quando surgir evidência nova.
Relógio regulatório e pacote de evidência
- T0Tomar conhecimento
Abrir incidente, preservar hora, serviços, estado, clientes, dados e fonte da deteção.
- ≤ 24 HClassificar continuamente
A notificação inicial não pode ultrapassar 24 horas desde T0 quando o caso já é major.
- ≤ 4 HNotificar após classificação
Enviar tão cedo quanto possível e até quatro horas depois de classificar como major.
- + 72 HEntregar intermédio
Atualizar causa, impacto, mitigação e recuperação; enviar mesmo sem alteração material.
- + 1 MÊSFechar com relatório final
Consolidar causa-raiz, impacto, custos, remediação e evidência após o último intermédio.
Uma árvore única deve alimentar decisão, formulário e direção
Crie um registo canónico e gere dele as três saídas: decisão regulatória, formulário da autoridade e situação executiva. Copiar factos à mão entre documentos cria horas divergentes, contagens incompatíveis e uma falsa aparência de precisão.
Árvore de decisão e evidência por fase
| Pergunta | Dado mínimo | Responsável | Saída |
|---|---|---|---|
| Serviço crítico afetado? | Serviço, função, início, indisponibilidade | Operações + dono do serviço | Abre ou encerra teste major |
| Que limiares foram atingidos? | Clientes, transações, geografia, duração, dados, custo | Risco regulatório | Classificação e confiança |
| Quando soubemos e classificámos? | Timestamps e autores imutáveis | Incident commander | Relógios de 24 h e 4 h |
| O que sabemos agora? | Facto, hipótese, fonte e versão | Investigação técnica | Inicial ou intermédio |
| A operação recuperou? | Estado, validação e efeitos residuais | Dono do serviço | Atualização de recuperação |
| A causa e remediação fecharam? | Causa-raiz, controlo, dono, prazo, teste | Risco + tecnologia | Relatório final |
Teste o percurso inteiro com um exercício de 90 minutos
Simule uma falha de terceiro que afeta um serviço crítico, começa com pouca informação e ganha alcance transfronteiriço. Aos 20, 45 e 70 minutos, introduza novos factos que alterem dois limiares. Observe quem tem autoridade para classificar, quem envia e como se reconciliam versões.
O primeiro relatório anual das ESAs sobre 2025 reuniu 3 383 incidentes major; cerca de um terço teve impacto transfronteiriço. Falhas de sistemas e eventos externos foram causas dominantes, reforçando a necessidade de incluir terceiros e infraestrutura partilhada no exercício.
- Medir tempo até decisão, não apenas tempo até convocar a equipa.
- Impedir que o formulário dependa de uma única pessoa ou estação de trabalho.
- Testar reclassificação e correção de um envio anterior.
- Guardar recibo, versão enviada e correspondência exata com o registo canónico.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01Regulation (EU) 2022/2554 — DORAEUR-Lex · EU-EURLEX
- 02Delegated Regulation (EU) 2024/1772 — incident classificationEUR-Lex · EU-EURLEX
- 03Delegated Regulation (EU) 2025/301 — content and time limitsEUR-Lex · EU-EURLEX
- 04Implementing Regulation (EU) 2025/302 — forms and proceduresEUR-Lex · EU-EURLEX
- 05ESAs Joint Report on major ICT-related incidents in 2025EIOPA · EU-EIOPA
- 06Digital Operational Resilience Act — implementation hubESMA · EU-ESMA
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.