O primeiro ano de execução do DORA em números: o que 3.383 incidentes mudam no seu orçamento de 2027

Os números

As Autoridades Europeias de Supervisão (AES) publicaram o primeiro relatório de incidentes DORA em 3 de junho de 2026. O relatório cobre o período de 17 de janeiro de 2025 a 31 de dezembro de 2025.

O valor de 33,7% de terceiros é o número que deve mudar as conversas de orçamento. Um em cada três incidentes TIC major origina-se fora da infraestrutura da própria entidade financeira.

O que os dados dizem sobre risco de terceiros

O Artigo 28 do DORA exige que as entidades financeiras geram o risco TIC de terceiros através de salvaguardas contratuais, monitorização e avaliação de risco de concentração. O primeiro ano de dados de incidentes mostra onde o risco se concentra:

1. Fornecedores de infraestrutura na nuvem representaram 48% dos incidentes de terceiros. O risco de concentração não é teórico. É mensurável.
2. Fornecedores de processamento de pagamentos representaram 23%. Estes incidentes afetam diretamente a disponibilidade de pagamentos para clientes.
3. Fornecedores de software como serviço representaram 19%. Estes incidentes afetam mais as operações internas do que os serviços para clientes.

Os restantes 10% abrangem fornecedores de dados, fornecedores de conectividade e fornecedores de serviços geridos.

O que isto muda nos orçamentos de 2027

Entidades financeiras que constroem orçamentos de resiliência para 2027 devem deslocar a despesa em três direções:

1. Ferramentas de monitorização de terceiros. Os dados mostram que 33,7% dos incidentes se originam fora do perímetro da entidade. Orçamentos que afazem 90% da despesa de resiliência para infraestrutura interna e 10% para monitorização de terceiros estão desalinhados com o risco. A proporção deve estar mais próxima de 70/30.

2. Capacidade de avaliação de risco de concentração. O Artigo 28(2) do DORA exige que as entidades identifiquem e mitiguem o risco de concentração. O primeiro ano de dados mostra que a concentração na nuvem é o fator dominante. Entidades com mais de 60% de cargas de trabalho críticas num único fornecedor de nuvem devem orçamentar redundância multi-cloud ou estratégias de saída para funções críticas.

3. Expansão do âmbito de testes de penetração orientados por ameaças (TLPT). Apenas 2,6% dos incidentes acionaram revisão TLPT. Isto é baixo. As AES notaram no relatório que as entidades podem estar a sub-acionar revisões TLPT. Orçamentar pelo menos um exercício TLPT por função TIC crítica em 2027, não um por entidade.

O que os dados não dizem

O relatório das AES tem duas lacunas que as entidades financeiras devem notar:

1. Sem classificação de severidade. O relatório conta incidentes mas não os classifica por severidade. Um atraso de 2 minutos no processamento de pagamentos e uma interrupção de 12 horas no core banking contam ambos como um incidente TIC major. As entidades devem construir a sua própria classificação de severidade internamente, porque os dados supervisórios não a fornecerão.

2. Sem atribuição ao nível da entidade. O relatório agrega através de todas as entidades que reportam. Não mostra quais tipos de entidade (bancos, seguradoras, firmas de investimento, instituições de pagamento) reportam mais incidentes. As entidades devem comparar a sua própria taxa de incidentes com o agregado, mas não devem assumir que o agregado é um referencial de pares.

Fontes

• AES publicam o primeiro relatório de incidentes TIC major no âmbito do DORA (3 de junho de 2026)
• DORA — Regulamento (UE) 2022/2554 (em vigor desde 17 de janeiro de 2025)
• AES, Orientações sobre testes de penetração orientados por ameaças (TLPT), fevereiro de 2025