DORA: o que os boards portugueses ainda não perceberam sobre a sua responsabilidade

Imagine que amanhã de manhã a reunião do conselho de administração não começa com os resultados trimestrais. Começa com uma notificação do Banco de Portugal. Não é uma carta para a empresa. É para si, pessoalmente.

Isto não é um cenário hipotético. Desde janeiro de 2025, o Regulamento DORA está em plena vigência. Em dezembro de 2025, Portugal publicou a Lei n.º 73/2025, que completou o regime sancionatório nacional. A negligência digital deixou de ser um problema do departamento de IT passou a ser um problema pessoal de quem lidera.

O que surpreende ainda é a quantidade de líderes de empresas financeiras que não perceberam o que, concretamente, mudou para eles.

O regulamento que tornou IT um assunto de board

O DORA Regulamento (UE) 2022/2554 obriga as entidades financeiras a demonstrar resiliência operacional digital: bancos, seguradoras, gestoras de ativos, fintechs, prestadores de serviços de pagamento e os seus fornecedores críticos de tecnologia. Mais de 22.000 entidades em toda a Europa.

A lógica é simples: quando a tecnologia de uma entidade financeira falha por ataque, por falha de um fornecedor, por incidente as consequências não ficam contidas num servidor. Propagam-se por clientes, contrapartes e, em última análise, pela estabilidade financeira da economia.

O DORA criou um padrão único e vinculativo para gerir esse risco. Mas o que distingue este regulamento de tudo o que veio antes não é técnico. É de governance.

O Artigo 5.º que nenhum board pode ignorar

O Artigo 5.º do DORA é explícito: os membros do órgão de administração têm a obrigação pessoal de definir, aprovar, rever e supervisionar o quadro de gestão do risco de TIC. E esta responsabilidade não pode ser delegada.

Não chega nomear um responsável de IT. Não chega assinar uma política que alguém preparou. O board tem de compreender o que aprova e demonstrá-lo a um regulador.

O que mudou em Portugal e quando

Em 23 de dezembro de 2025, a Lei n.º 73/2025 foi publicada em Diário da República. Designou o Banco de Portugal, a ASF e a CMVM como autoridades competentes nacionais e criou o mecanismo de enforcement: sanções concretas, coimas elevadas e divulgação pública de condenações.

Atas sem discussão de resiliência digital são uma lacuna. Ausência de formação dos administradores em risco de TIC é uma lacuna. Aprovação de frameworks sem evidência de envolvimento real do board é uma lacuna. Cada uma tem um custo que já não é abstrato.

O que as coimas significam, em números

A Lei 73/2025 introduz ainda mecanismos de divulgação pública de condenações. Uma coima aplicada a um administrador não é só financeiramente onerosa é publicamente visível.

O contexto que agrava tudo: 2026 não é um ano fácil

O Banco de Portugal publicou em maio de 2026 o seu Relatório de Estabilidade Financeira com uma leitura direta: os riscos acentuaram-se com o agravamento das tensões geopolíticas e a possibilidade de correções súbitas nos mercados. Um ambiente de maior instabilidade não é apenas um problema macroeconómico é um acelerador do risco cibernético.

Acresce o risco de concentração de fornecedores, pouco discutido nas reuniões de board. Em novembro de 2025, as autoridades europeias (EBA, EIOPA, ESMA) designaram 19 grandes fornecedores críticos de cloud e infraestrutura sob supervisão direta europeia. O DORA é claro: uma falha de segurança num fornecedor partilhado pode tornar-se negligência pessoal de um administrador, se a devida diligência na contratação e supervisão não foi documentada.

O que o board tem de fazer concretamente

• 01
  Aprovar e rever o quadro de gestão do risco de TIC Não apenas assinar. Compreender o conteúdo, aprovar formalmente e rever pelo menos uma vez por ano com registo em ata.
• 02
  Manter competências em risco de TIC Formação regular para os administradores, documentada e verificável. É uma obrigação pessoal não basta a empresa ter formação disponível.
• 03
  Supervisionar os fornecedores críticos de TIC Registo de contratos, cláusulas DORA incluídas, processo de monitorização ativa. A delegação total para IT não é suficiente.
• 04
  Garantir o orçamento de resiliência digital Cortar sistematicamente na segurança digital pode ser, em caso de incidente, evidência de negligência.
• 05
  Assegurar os mecanismos de reporte de incidentes O DORA impõe prazos específicos para notificar o Banco de Portugal. Em caso de incidente, o board é o primeiro a ser questionado sobre se sabia.

O conceito que vai dominar as reuniões de board em 2026

A proteção de um administrador não vem da ausência de incidentes. Vem da evidência de que agiu com diligência. O que o regulador questiona não é o resultado é o processo. O board aprovou o quadro certo? Alocou os recursos adequados? Supervisionou os fornecedores? Documentou as decisões?

Uma decisão defensável é aquela que, analisada a posteriori por um supervisor, demonstra que foi tomada com informação suficiente, dentro de um processo estruturado. É o que separa um administrador exposto de um administrador protegido independentemente do que aconteça nos sistemas da empresa.

Se a resposta a qualquer uma destas perguntas for "não sei" ou "temos de verificar" a exposição é real e atual.

Maturidade não é ausência de risco. É capacidade de o absorver.

Em 2026, o contexto em que as empresas financeiras portuguesas operam é simultaneamente mais exigente e mais incerto. A pressão geopolítica, a volatilidade dos mercados, a concentração tecnológica e a intensidade regulatória criaram um ambiente em que a resiliência deixou de ser uma vantagem competitiva opcional é uma condição de operação.

O DORA não chegou para punir. Chegou para criar um padrão. Um padrão que separa as organizações que operam com preparação das que operam com esperança.

Para os boards portugueses, o momento de agir não é quando o Banco de Portugal bate à porta. É agora.