O primeiro balanço anual do mecanismo de notificação da DORA, publicado em 3 de junho de 2026 pelas Autoridades Europeias de Supervisão (EBA, EIOPA e ESMA), registrou 3,383 incidentes graves de TIC no setor financeiro da União Europeia ao longo de 2025 — média de 282 casos por mês e de 0,18 incidente grave por entidade sujeita à norma. O relatório JC 2026 16 mostra que cerca de um terço desses incidentes teve impacto transfronteiriço e que falhas de sistema e eventos externos, e não ataques cibernéticos, dominaram as causas. Para uma equipe defensiva, a leitura é objetiva: a exposição regulatória depende menos da origem do problema e mais da velocidade para classificar, notificar e coordenar terceiros em janelas medidas em horas. Essa capacidade precisa estar desenhada antes do próximo evento, não durante ele.

O que o relatório mostra

O documento é o primeiro produto do mandato anual do artigo 22(2) da DORA: um panorama agregado e anonimizado dos incidentes graves reportados pelas entidades financeiras às autoridades competentes. A análise considera os casos ocorridos em 2025 com relatório final entregue até o corte de 5 de fevereiro de 2026 — data escolhida para capturar de forma consistente os episódios de dezembro sem incluir casos ainda abertos. A maior parte dos incidentes veio dos setores de crédito e pagamentos, concentração que as próprias autoridades atribuem à estrutura de mercado, à existência de obrigações semelhantes anteriores à DORA e ao perfil digital e voltado ao cliente desses serviços, não a fragilidades setoriais específicas.

Os números pedem contexto. O relatório é explícito: a quantidade de incidentes não deve ser lida como sinal de fraqueza estrutural, porque a digitalização, a complexidade e a interconexão do setor financeiro tornam incidentes operacionais, em alguma medida, inevitáveis. A resiliência aparece na capacidade demonstrada de identificar, gerenciar e conter os eventos com rapidez — e, de fato, o impacto direto sobre clientes e transações foi, em geral, limitado. Cerca de um terço dos casos teve alcance transfronteiriço, reflexo de infraestruturas e serviços compartilhados, e apenas 10% dos incidentes reportados tiveram natureza de cibersegurança.

Onde nascem os incidentes

Se ataques representaram só uma fatia menor, o que derrubou sistemas? Falhas de sistema e eventos externos — incluídos aí problemas em provedores e dependências fora do perímetro — foram os principais motores. A inversão importa para a alocação defensiva: a maior parte do esforço de segurança costuma mirar adversários, mas o dano regulatório e operacional concentra-se em disponibilidade, continuidade e dependência de terceiros. Monitorar níveis de serviço, testar recuperação e manter visibilidade da cadeia de fornecimento rende mais resiliência medida do que endurecer apenas o perímetro.

Há, porém, um alerta explícito das autoridades: a evolução recente de ferramentas de IA de alta capacidade deve levar as entidades financeiras a fortalecer as medidas de cibersegurança para sustentar a resiliência nos próximos anos. O histórico favorável do componente cibernético não autoriza descanso — a superfície de ataque assistida por IA cresce em paralelo à dependência de serviços compartilhados.

O peso dos terceiros de TIC

O trecho mais operacional do balanço conecta causas e remédio: como falhas de sistema e eventos externos dominaram, as autoridades apontam a necessidade de gestão robusta de risco de terceiros, supervisão efetiva dos serviços terceirizados e coordenação estreita com os provedores durante a resposta e a remediação. Em outras palavras, o incidente pode nascer fora do seu perímetro, mas a notificação, a contenção e a responsabilidade regulatória ficam dentro.

O relatório também antecipa o próximo passo supervisório. O Registro de Informações da DORA, que centraliza os arranjos contratuais de TIC das entidades financeiras e sustenta a designação de provedores críticos, passará a ser analisado em conjunto com os dados de incidentes. Esse cruzamento deve ajudar a identificar episódios originados em provedores de TIC críticos e a entender concentrações sistêmicas de risco no setor. Para a entidade supervisionada, o caminho é o mesmo: manter o registro atualizado e saber, para cada função crítica, qual contrato, qual provedor e qual canal de aviso correspondem a ela.

Prazos que decidem a conformidade

O regime de notificação da DORA funciona em três estágios com relógios independentes. A notificação inicial em até quatro horas após a classificação do incidente como grave — e nunca depois de 24 horas do momento em que a entidade tomou conhecimento do evento — abre o ciclo. O relatório intermediário vence em até 72 horas contadas do envio da inicial, mesmo que o status não tenha mudado. O relatório final chega em até um mês depois do intermediário, ou do último intermediário atualizado. Quando o prazo cai em fim de semana ou feriado no país da entidade, a entrega pode deslocar-se para o meio-dia do próximo dia útil.

Dois pontos merecem atenção de governança. Primeiro, o relógio da notificação inicial começa na classificação, não na contenção: quem decide que um incidente é grave precisa de autoridade e critérios pré-definidos, exatamente a peça central de governança que o guia do NIST para resposta a incidentes exige. Segundo, o conhecimento da entidade inclui o que o provedor de TIC lhe comunicou: sem prazo contratual de aviso, a janela de 24 horas se consome antes de a equipe interna entender o escopo. A lógica do relógio regressivo é a mesma das notificações exigidas pelo Cyber Resilience Act, em que o prazo curto obriga processo desenhado e ensaiado, não improviso.

Checklist de ação priorizado

Prioridade Ação Como verificar
P1 Automatizar a classificação de gravidade e o disparo da notificação inicial à autoridade competente Simular um incidente e medir o tempo entre detecção, classificação e envio
P1 Exigir prazo contratual de aviso de incidente dos provedores de TIC que suportam funções críticas Revisar contratos e registrar o canal de contato testado com cada provedor
P2 Reconciliar o Registro de Informações com os incidentes reais do último ciclo Cruzar cada incidente notificado com o arranjo contratual correspondente
P2 Ensaiar os prazos em fim de semana e feriado Exercício de mesa aplicando a regra do meio-dia do próximo dia útil

Sinais a monitorar

Três indicadores dizem se o programa acompanha o ritmo supervisório: o tempo médio entre detecção e classificação de gravidade; a latência do aviso recebido de cada provedor crítico; e a distância entre o Registro de Informações e a realidade contratual. As autoridades anunciaram foco nos casos abertos e na identificação de notificações atrasadas pelas entidades — atraso que vira pauta de supervisão, não apenas falha processual. Uma nova ferramenta de coleta, com validação automática e mecanismos de retorno, entra em operação em 2026 e deve elevar a exigência de qualidade dos dados enviados.

Fontes