Queria falar hoje sobre o tema dos riscos operacionais e cibernéticos, e para isto queria comentar então sobre a nova Lei de Resiliência Operacional Digital (DORA), que é uma legislação da União Europeia que estabelece uma série de exigências regulatórias para a gestão de riscos de tecnologia da informação e comunicação (TIC) no setor financeiro europeu, mas que acho que pode ser uma tremenda referência para nos aqui também, pois define padrões técnicos que as entidades financeiras e seus provedores críticos de serviços terceirizados devem implementar em seus sistemas até janeiro de 2025.
Os objetivos primários da DORA incluem a abordagem abrangente da gestão de riscos de TI e comunicações no setor de serviços financeiros e a harmonização dos regulamentos de gestão de riscos sobre o tema já existentes em alguns países europeus que saíram na frente. Anteriormente, as regulamentações de gestão de riscos para instituições financeiras na Europa concentravam-se principalmente em garantir capital suficiente para cobrir os riscos operacionais, mas agora com a DORA, a Europa visa estabelecer uma estrutura universal para gerir e mitigar os riscos de TI e Comunicações no setor financeiro, harmonizando as regras de gestão de riscos em toda a Europa.
A DORA é aplicável a todas as instituições financeiras na Europa, abrangendo desde entidades financeiras tradicionais, como bancos comerciais e de investimento, até entidades não tradicionais, como provedores de serviços de ativos criptográficos e plataformas de crowdfunding, assim como também se aplica a provedores de serviços terceirizados de TIC e empresas que fornecem serviços críticos de informações de terceiros.
Proposta inicialmente pela Comissão Europeia em setembro de 2020 e oficializada em novembro de 2022, a DORA faz parte de um pacote financeiro digital mais amplo. As entidades financeiras e provedores de serviços de TIC terceirizados têm até janeiro de 2025 para cumprir as exigências da DORA. Os detalhes principais ainda estão sendo discutidos pelas Autoridades Supervisoras Europeias (AEEs), responsáveis por elaborar os padrões técnicos regulatórios (RTS) e implementar os padrões técnicos (ITS).
Após a finalização das normas e a chegada do prazo de janeiro de 2025, a aplicação será atribuída às autoridades reguladoras designadas em cada país europeu, sendo que os fornecedores de TIC considerados "essenciais" serão supervisionados diretamente pelos supervisores "líderes das ESAs."
A DORA estabelece requisitos técnicos em quatro domínios principais: gestão e governança de riscos de TIC, resposta a incidentes e relatórios, teste de resiliência e gestão de riscos de terceiros. Os requisitos serão aplicados proporcionalmente, variando conforme o tamanho e o tipo da entidade financeira.
Queria então detalhar os requisitos principais:
- Governança e Gestão de Riscos de TIC: O DORA enfatiza a responsabilidade do corpo diretivo pela estabilidade operacional digital. A gestão deve garantir que a empresa esteja adequadamente protegida contra interrupções de TIC e ataques cibernéticos. O DORA propõe um quadro de gestão de riscos de TIC amplo, essencial para criar instituições financeiras resilientes, permitindo a identificação, avaliação, gestão e monitoramento dos riscos de TIC.
- Proteção e Prevenção: As empresas devem assegurar que seus sistemas e processos de TI detectem e respondam a ameaças potenciais de forma rápida e eficaz. O DORA especifica requisitos para processos e sistemas que detectem e defendam contra ameaças potenciais prontamente. Um exemplo é o isolamento automático da rede em caso de ataques cibernéticos, minimizando riscos de perda de dados ou falha do sistema.
- Incidentes de TIC: Um requisito do DORA é padronizar as obrigações de relatório para incidentes graves de TIC em todo o segmento financeiro europeu, melhorando a resposta a tais incidentes e assegurando cooperação eficaz entre autoridades nacionais e europeias. Um exemplo é a introdução de procedimentos uniformes para monitorar, classificar e reportar incidentes de TIC às autoridades competentes.
- Teste de Estabilidade Operacional Digital: Testes regulares da estabilidade operacional e segurança dos sistemas de TI críticos são cruciais. O DORA exige uma abordagem de testes baseada em riscos para detecção e resolução de potenciais interrupções de TIC. Um exemplo é a realização de testes de penetração em sistemas de produção ao vivo pelo menos a cada três anos.
- Controle de Terceiros de TIC: O DORA visa permitir que as empresas monitorem efetivamente os riscos apresentados por provedores terceirizados de TIC. Um exemplo de implementação desse requisito é a introdução de penalidades e novas opções de rescisão para provedores terceirizados de TIC que não cumprirem com os requisitos do regulamento.
- Normas Técnicas Regulatórias e Normas de Implementação (RTS e ITS): O DORA inclui a concretização dos requisitos por parte das Autoridades Supervisoras Europeias (ESAs) por meio de normas técnicas regulatórias e de implementação (RTS/ITS).
- Contratos: Em relação à gestão de contratos, o DORA especifica requisitos para contratos com provedores terceirizados de TIC que devem ser incorporados à gestão de contratos das instituições financeiras. Na fase de implementação, é necessário categorizar os contratos existentes, estabelecer requisitos-alvo, conduzir análises de lacunas e abordar possíveis lacunas. Além disso, o DORA altera os requisitos em relação aos riscos de responsabilidade e responsabilização de empresas e executivos concernentes a riscos de TIC de terceiros.
- Compartilhamento de Informações A DORA incentiva as entidades a participarem de acordos voluntários de compartilhamento de informações sobre ameaças de TIC, respeitando as diretrizes de proteção de dados relevantes.
Como podemos ver a introdução de todas estas exigências regulatórias vai trazer desafios para as empresas ao longo deste ano, que podem não estar suficientemente preparadas para a implementação dos novos requisitos. Estes desafios permeiam várias dimensões tecnológicas e digitais:
- Abordagem Formal para Resiliência: DORA impõe um conjunto padronizado de requisitos em todo o setor de serviços financeiros, com expectativas elevadas de resiliência. As entidades devem ser capazes de restaurar rapidamente os serviços após um incidente cibernético, exigindo medidas avançadas de recuperação de desastres e continuidade de negócios. As instituições financeiras devem criar e atualizar regularmente um quadro de gestão de riscos de TIC que contenha informações sobre estratégias, procedimentos e ferramentas.
- Gestão de Risco Cibernético: Os riscos cibernéticos devem ser geridos ativamente, com processos que incluem classificação de riscos, monitoramento, documentação e relatório. Assim como as estratégias de resposta e recuperação, bem como de gestão de continuidade de negócios, devem ser implementadas.
- Testes e Relatórios: Sistemas de TI devem ser testados regularmente, e a estratégia de testes revista e atualizada continuamente para garantir a conformidade. Os testes incluirão varreduras de vulnerabilidade, avaliações de rede e avaliações de penetração.
- Relatório de Incidentes e Colaboração: O DORA exige que as entidades relatem prontamente incidentes cibernéticos significativos às autoridades competentes. Embora não seja obrigatório, também incentiva as instituições financeiras a estabelecerem alianças colaborativas dentro do setor; procedimentos e regras devem ser definidos e promulgados, todos com o objetivo de compartilhar inteligência e informações sobre ameaças cibernéticas entre as entidades.
- Risco de Terceiros: Provedores de TIC de terceiros estarão sujeitos a mudanças contratuais e sua resiliência de TIC avaliada rigorosamente. O DORA enfatiza a necessidade de gerenciar e monitorar esses riscos externos. Contratos devem ser revistos e potencialmente reescritos para atender às regras do DORA, e a colaboração com provedores não conformes deve ser interrompida.
- Penalidades por Não Conformidade: As penalidades monetárias para entidades financeiras ainda não foram estabelecidas; os países definirão os quadros em devido tempo, e o DORA também deixa aberta a possibilidade de responsabilidade criminal por não conformidade. As penalidades monetárias para prestadores de serviços críticos de TIC de terceiros podem ser de até 1% do faturamento diário mundial médio no ano comercial anterior, aplicadas diariamente até que a conformidade seja alcançada, por um máximo de seis meses.
Embora o DORA seja um regulamento europeu, ele pode se aplicar e ter implicações para empresas domiciliadas no exterior com operações na Europa, incluindo aquelas dos EUA e do Reino Unido.
No Reino Unido:
- Certamente, o DORA será aplicável a determinadas empresas de serviços financeiros do Reino Unido que operam na UE: as entidades do Reino Unido precisarão determinar se estão dentro do escopo do DORA, com base na ampla gama de tipos de atividades de mercados financeiros incluídas e se essas atividades ocorrem dentro das jurisdições da UE.
- Além disso, há planos para expandir o regime de resiliência operacional no Reino Unido: em julho de 2022, o Parlamento do Reino Unido propôs emendas a várias leis que permitiriam a regulação direta pelas autoridades financeiras do Reino Unido de prestadores de serviços terceirizados críticos no setor financeiro do Reino Unido, de forma semelhante ao DORA. Um documento de discussão delineando opções de implementação para seus novos poderes propostos foi lançado, e o processo de consulta foi concluído em dezembro de 2022, mas o cronograma para uma implementação mais ampla ainda é incerto.
Nos EUA:
- O Departamento de Serviços Financeiros de Nova York está atualmente revisando sua Regulação de Cibersegurança de 2017 para, entre outras coisas, impor requisitos mais rigorosos de continuidade de negócios e retenção de dados em grandes entidades. Embora o DORA imponha obrigações mais amplas às instituições financeiras, as regras atualizadas de cibersegurança de Nova York podem ser mais rigorosas em certos aspectos.
Esses desenvolvimentos destacam um movimento global em direção a uma regulamentação mais estrita da resiliência operacional e da gestão de riscos cibernéticos no setor financeiro, mas que podemos aplicar em outros países e segmentos. A convergência de tais regulamentos pode eventualmente levar a um framework mais uniforme e rigoroso em diferentes jurisdições, aumentando a segurança e a estabilidade do sistema financeiro global. No entanto, a natureza variável dos regimes regulatórios e as diferenças nos prazos e abordagens específicas de implementação podem criar desafios para as empresas que operam em múltiplas jurisdições. Por tudo isto, acho importante que acompanhem de perto essas mudanças regulatórias e adaptem suas estratégias de conformidade de acordo.
Como podemos ver acima, a DORA representa um importante esforço significativo para padronizar e reforçar a resiliência operacional digital no setor financeiro europeu, abordando riscos e desafios emergentes associados à crescente dependência de tecnologias de informação e comunicação.
Você está preparado para implantar requisitos como este na sua empresa?
As empresas precisam realizar uma avaliação abrangente das suas práticas atuais de resiliência operacional e identificar áreas que necessitam de aprimoramento ou alinhamento com os padrões regulatórios, e neste sentido para ajudar uma série de perguntas básicas e pontos que precisa olhar e se preocupar em ter:
Governança:
- São necessárias mudanças na estrutura de governança da sua empresa para gerir e supervisionar a resiliência?
- Os papéis e responsabilidades de resiliência foram considerados e alocados por toda a estrutura de Três Linhas de Defesa?
- As linhas de reporte foram estabelecidas para permitir a tomada de decisões informadas pela Diretoria e gestão executiva?
Framework de Gestão de Riscos de TIC:
- Os registros existentes de informações de TIC da empresa foram revisados para garantir sua adequação?
- Sua empresa aproveita oportunidades para alinhar o mapeamento de serviços de negócios à resiliência operacional para integrar visões de criticidade e/ou importância?
- Sua empresa aplica "cenários extremos" para identificar riscos ligados a interrupções? E as medidas necessárias foram implementadas para manter a resiliência?
Relatórios de Incidentes Relacionados a TIC:
- Foi desenvolvida uma estratégia de comunicação para todas as partes interessadas (internas, fornecedores, clientes, terceiros e autoridades)?
- Os Planos de Continuidade de Negócios foram mapeados para as funções críticas relevantes e os processos e recursos subjacentes?
- Os controles relevantes foram definidos, documentados e mapeados para funções críticas?
Testes de Resiliência Operacional Digital:
- A amplitude, profundidade e frequência dos testes para sistemas críticos de TIC foram testados?
- Se sua empresa é um provedor de serviço terceirizado, você revisou sua exposição a requisitos mais amplos de resiliência operacional em toda a sua base de clientes?
- Foi compilado e mantido um inventário de "funções críticas", incluindo relatórios regulares? E foi aprovado pela Diretoria?
- O inventário inclui processos, atividades e recursos subjacentes (TIC, dados, instalações, pessoas e terceiros) para funções críticas?
Gestão de Riscos de Terceiros de TIC:
- Se você é um provedor de TIC, foi realizada uma revisão da sua conformidade com os requisitos de resiliência operacional? Foi documentado que seus frameworks são "abrangentes, sólidos e eficazes" para gerenciar riscos de TIC?
- Sua estratégia de aquisições e de terceiros foi atualizada para considerar o risco de concentração e resiliência como parte do engajamento inicial e contínuo de terceiros?
- Se você é um terceiro, seus programas de resiliência operacional espelham as empresas com as quais está envolvido e você forneceu algum nível de garantia a elas?
Compartilhamento de Informações:
- Você participa de fóruns colaborativos para compartilhar informações sobre ameaças cibernéticas e inteligência de ameaças com outras instituições financeiras?
- Foi implementado um processo para garantir uma transferência segura de informações entre instituições financeiras?
- Você acompanha as divergências nacionais em relação à implementação do NIS2?
Aos que se interessam em saber mais a respeito do tema, podem ter acesso ao texto completo (em inglês) no link abaixo:
https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32022R2554&from=pt
Conteúdo regulatório disponibilizado pela Okai.
