O dia 1 de janeiro de 2025 marcou o início da Lei de Resiliência Operacional Digital (DORA) e, meio ano depois, 96% das instituições financeiras inquiridas na região EMEA admitem que a sua resiliência de dados continua a ser insuficiente para cumprir a lei. Este dado provém de um estudo realizado pela Censuswide para a Veeam Software entre responsáveis de TI de entidades do Reino Unido, França, Alemanha e Países Baixos.

A regulamentação DORA, concebida para reforçar as defesas contra ciberameaças e falhas das TIC, subiu rapidamente na agenda corporativa: 94% dos participantes afirmam que hoje dão muito mais prioridade à DORA do que no mês anterior à sua aplicação, e 40% consideram-na o seu principal desafio em matéria de resiliência digital.

Enquanto metade dos inquiridos já incorporou os requisitos no programa geral de continuidade, 39% mantém-no como foco independente para acelerar a adaptação.

A adoção apressada deixou efeitos colaterais: quatro em cada dez empresas identificam um aumento do stress e da carga de trabalho nas equipas de TI e segurança, e mais de um terço denuncia custos mais elevados repercutidos pelos seus fornecedores de tecnologia. Além disso, 22% alertam que a proliferação de regulamentações pode frear a inovação e a concorrência, e um em cada cinco ainda não obteve os recursos orçamentários necessários para implementar todos os controlos.

Apesar da prioridade concedida, persistem lacunas em funções críticas, como testes de recuperação e notificação de incidentes, que 24% das organizações ainda não implementaram. A mesma percentagem não dispõe de um responsável formal pelo projeto DORA e 21% não possui mecanismos para verificar a integridade das cópias de segurança ou garantir uma restauração segura dos dados. Esta situação reflete a lacuna que separa o planeamento estratégico do cumprimento efetivo da norma.

A supervisão do risco de terceiros surge como o requisito mais complexo: 34% dos inquiridos considera-o o maior desafio, apesar de apenas um em cada cinco ainda não o ter implementado. Entre as causas citadas estão a visibilidade limitada das operações externas e a magnitude das cadeias de fornecimento tecnológicas, o que levou várias entidades a reclamar diretrizes mais claras.

A Veeam sublinha que o caminho para a resiliência operacional continua aberto; em conjunto com a McKinsey, esta empresa apresentou no início do ano um Modelo de Maturidade de Resiliência de Dados (DRMM) baseado na experiência de mais de 500 líderes de TI, segurança e operações, que permite avaliar de forma integrada a preparação para incidentes e traçar um roteiro que, segundo a empresa, facilita o alinhamento com a DORA e outras exigências regulatórias.

A mensagem que se depreende do estudo é clara: a regulamentação está a fazer com que as entidades revisem a sua resiliência de forma holística, mas converter essa vontade em capacidades tangíveis continua a ser uma tarefa pendente.