Como gerenciar o risco de TIC de terceiros do DORA usando IA

Visão geral

Você aprenderá como implementar os requisitos de gestão de risco de TIC de terceiros do DORA sob os Artigos 28-30 usando IA. Este guia abrange a construção e manutenção do registro de provedores de TIC de terceiros, a realização de avaliações pré-contratuais, a incorporação de cláusulas contratuais obrigatórias, a avaliação de risco de concentração, o desenvolvimento de estratégias de saída e o estabelecimento de monitoramento contínuo, com prompts específicos do ISMS Copilot para gerar cada componente.

Para quem é este guia

Este guia é para:

• Gestores de risco de terceiros e profissionais de gestão de fornecedores em entidades financeiras
• Equipes de compras e jurídicas responsáveis por contratos com provedores de serviços de TIC
• CISOs e CROs que supervisionam o risco da cadeia de suprimentos de TIC
• Oficiais de conformidade que garantem que os acordos com terceiros atendam aos requisitos do DORA
• Consultores que orientam entidades financeiras sobre a gestão de risco de terceiros do DORA
• Provedores de serviços de TIC de terceiros que buscam entender as obrigações de seus clientes

Antes de começar

Você precisará de:

• Uma conta no ISMS Copilot (teste gratuito disponível)
• Seu inventário de ativos de TIC de Como construir um framework de gestão de risco de TIC do DORA usando IA (identifica quais ativos dependem de provedores terceirizados)
• Uma lista de seus atuais provedores de TIC de terceiros e os serviços que eles fornecem
• Acesso a contratos de serviços de TIC existentes para revisão
• Compreensão de quais serviços de TIC suportam suas funções críticas ou importantes
• Acesso às suas equipes jurídicas, de compras e de gestão de fornecedores

Compreendendo os requisitos de risco de TIC de terceiros do DORA

Análise artigo por artigo

O Capítulo V, Seção I do DORA (Artigos 28-30) estabelece o regime mais abrangente de gestão de risco de TIC de terceiros na regulamentação financeira da UE:

Article

Title

Key requirements

Key deliverables

Art 28

Princípios gerais

Política de risco de TIC de terceiros, registro de todos os provedores, avaliação pré-contratual, monitoramento contínuo, responsabilidade do órgão de gestão

Política de risco de TIC de terceiros, registro de provedores, procedimentos de avaliação

Art 29

Avaliação preliminar do risco de concentração de TIC

Avaliar o risco de concentração antes de entrar em novos acordos, considerar substituibilidade, localização de dados, riscos operacionais de concentração

Avaliação de risco de concentração, análise de dependência

Art 30

Disposições contratuais essenciais

Cláusulas contratuais obrigatórias: SLAs, direitos de auditoria, localização de dados, suporte a incidentes, disposições de saída, controles de subcontratação

Biblioteca de cláusulas contratuais, checklist de revisão de contratos, modelos de emenda

O escopo do risco de TIC de terceiros sob o DORA

O DORA adota uma visão abrangente do risco de TIC de terceiros. Os requisitos aplicam-se a todos os serviços de TIC obtidos de terceiros, não apenas a acordos de terceirização. Isso inclui:

• Serviços em nuvem: provedores de IaaS, PaaS, SaaS (AWS, Azure, Google Cloud, Salesforce, etc.)
• Provedores de sistemas principais: sistemas bancários principais, processamento de pagamentos, plataformas de negociação
• Serviços gerenciados: segurança gerenciada (SOC), operações de TI gerenciadas, serviços de rede gerenciados
• Serviços de dados: análise de dados, provedores de dados de mercado, serviços de pontuação de crédito
• Serviços de comunicação: SWIFT, redes de pagamento, plataformas de mensagens
• Provedores de software: aplicativos empresariais, ferramentas de segurança, tecnologia regulatória
• Provedores de infraestrutura: colocalização de data centers, conectividade de rede, serviços de CDN

Passo 1: Construa seu registro de provedores de TIC de terceiros (Artigo 28)

Criando o registro

O Artigo 28(3) exige que as entidades financeiras mantenham e atualizem um registro de informações relativas a todos os acordos contratuais para serviços de TIC. Este registro deve ser disponibilizado à autoridade competente mediante solicitação e reportado anualmente por meio de modelos padronizados.

1. Abra seu espaço de trabalho do DORA em ISMS Copilot

2. Gere o modelo de registro:

   "Crie um modelo de registro de provedores de TIC de terceiros que atenda ao Artigo 28(3) do DORA e aos Padrões Técnicos Regulatórios associados. Inclua campos para: identificação do provedor (nome legal, LEI, jurisdição, empresa controladora), identificação do contrato (referência do contrato, data de início, data de renovação, período de aviso prévio de rescisão), descrição do serviço (serviços de TIC fornecidos, categoria do serviço, modelo de entrega), função suportada (função crítica ou importante: sim/não, nome da função de negócio), classificação de dados (tipos de dados processados, localização dos dados incluindo país e região, mecanismos de transferência de dados), subcontratação (subcontratados utilizados, localização do subcontratado, detalhes do serviço subcontratado), resumo da avaliação de risco (classificação de risco, data da última avaliação, principais conclusões), status de conformidade do contrato (cláusulas obrigatórias do DORA presentes: sim/parcial/não), status da estratégia de saída (plano de saída desenvolvido: sim/não, data do último teste) e data da última revisão. Inclua notas de orientação para cada campo e forneça exemplos de entradas para tipos comuns de provedores (nuvem, banco principal, segurança gerenciada)."

3. Preencha o registro sistematicamente:

   "Ajude-nos a identificar e categorizar todos os provedores de TIC de terceiros para o nosso registro. Somos uma [tipo de entidade] que utiliza os seguintes serviços de TIC: [liste serviços e provedores conhecidos]. Para cada provedor, ajude-nos a classificar: se eles suportam funções críticas ou importantes, os dados que eles processam e sua localização, os acordos de subcontratação que devemos investigar, a classificação de risco com base na criticidade do serviço e na dependência do provedor, e a prioridade de revisão do contrato. Identifique também categorias de provedores que podemos ter esquecido: provedores de DNS, autoridades certificadoras, processadores de pagamento, feeds de dados de mercado, ferramentas de relatórios regulatórios, provedores de backup e DR, provedores de identidade e operadoras de telecomunicações."

Manutenção e relatórios do registro

O registro não é um exercício único. Estabeleça procedimentos de manutenção contínua:

"Crie um procedimento para manter e atualizar o registro de provedores de TIC de terceiros sob o DORA. Inclua: gatilhos para atualizações do registro (novos contratos, alterações de contrato, mudanças de provedor, mudanças de subcontratação, reavaliação de risco), responsabilidades e fluxo de trabalho de atualização, verificações de garantia de qualidade, processo de revisão abrangente anual, requisitos de relatório à autoridade competente (envio anual conforme formato RTS), relatórios ao órgão de gestão (resumo do status do registro, concentrações de risco, lacunas de conformidade) e integração com processos de compras (atualização do registro como etapa obrigatória em novas aquisições de TIC). Forneça uma checklist de revisão anual do registro."

Passo 2: Realize avaliações pré-contratuais (Artigo 28)

Framework de due diligence

Antes de entrar ou renovar qualquer acordo de serviço de TIC, o DORA exige uma avaliação completa do provedor e do acordo. A profundidade da avaliação deve ser proporcional à criticidade da função sendo suportada.

1. Gere o framework de avaliação:

   "Crie um framework de avaliação pré-contratual de provedores de TIC de terceiros para o Artigo 28 do DORA. Inclua áreas de avaliação: estabilidade financeira e viabilidade do provedor, capacidades de segurança de TIC e certificações (ISO 27001, SOC 2, CSA STAR), capacidades de gestão e notificação de incidentes, capacidades de continuidade de negócios e recuperação de desastres, conformidade com proteção de dados e privacidade (alinhamento com GDPR), práticas de subcontratação e transparência, histórico de conformidade regulatória, avaliação de risco geográfico (localização de dados, jurisdição, estabilidade política), capacidades de suporte à saída e transição, e reputação e posição de mercado do provedor. Para cada área, forneça: perguntas de avaliação, evidências a solicitar, critérios de pontuação (adequado, precisa de melhoria, inadequado) e sinais de alerta. Crie dois níveis de profundidade de avaliação: avaliação padrão (para serviços não críticos) e avaliação aprimorada (para serviços que suportam funções críticas ou importantes). Forneça um modelo de relatório de avaliação."

2. Crie um questionário de avaliação de segurança do provedor:

   "Crie um questionário detalhado de avaliação de segurança de TIC para avaliar provedores de TIC de terceiros sob o DORA. Aborde: governança e organização (liderança em segurança, políticas, certificações), gestão de acesso (autenticação, autorização, acesso privilegiado), proteção de dados (criptografia em repouso e em trânsito, gestão de chaves, classificação de dados), segurança de rede (segmentação, monitoramento, detecção de intrusão), gestão de incidentes (capacidades de detecção, procedimentos de resposta, prazos de notificação), continuidade de negócios (BCP/DRP, capacidades de RTO/RPO, frequência de testes), gestão de vulnerabilidades (varredura, correção, prazos de remediação), gestão de mudanças (testes, aprovação, reversão), segurança de pessoal (verificações de antecedentes, treinamento, conscientização), segurança física (segurança do data center, controles ambientais) e subcontratação e risco de quarta parte. Inclua perguntas sim/não e abertas. Forneça orientações de pontuação."

Avaliando riscos do provedor antes do engajamento

Use o ISMS Copilot para avaliar provedores ou tipos de provedores específicos:

"Estamos considerando [nome/tipo do provedor] para [descrição do serviço] que suporta [função crítica/importante/padrão]. Realize uma avaliação de risco pré-contratual alinhada ao DORA. Considere: capacidade do provedor de atender aos requisitos de cláusulas contratuais do DORA (Artigo 30), implicações de localização e transferência de dados, transparência na subcontratação, capacidade de notificação de incidentes alinhada ao nosso prazo de notificação de 4 horas do DORA, auditabilidade (direito de auditar, acesso a relatórios), viabilidade de saída (portabilidade de dados, suporte à transição, riscos de lock-in), implicações de risco de concentração (já dependemos deste provedor ou de sua empresa controladora para outros serviços críticos?), e considerações regulatórias para nossa autoridade competente. Forneça uma avaliação com classificação de risco e uma recomendação sobre prosseguir ou não."

Passo 3: Implemente cláusulas contratuais obrigatórias (Artigo 30)

Compreendendo os requisitos do Artigo 30

O Artigo 30 especifica elementos obrigatórios que devem ser incluídos em contratos para serviços de TIC. Os requisitos são ainda mais detalhados para serviços que suportam funções críticas ou importantes. Este é frequentemente o aspecto mais trabalhoso da gestão de risco de TIC de terceiros do DORA.

1. Gere a biblioteca de cláusulas contratuais:

   "Crie uma biblioteca abrangente de cláusulas contratuais do Artigo 30 do DORA para acordos de serviços de TIC. Para cada requisito obrigatório, forneça: a referência do artigo do DORA, uma cláusula contratual modelo (pronta para revisão jurídica), notas explicativas e orientações de negociação. Aborde todos os requisitos do Artigo 30: descrição clara do serviço com metas de desempenho quantitativas e qualitativas, locais de processamento de dados (incluindo locais de armazenamento, processamento e backup) com notificação prévia de alterações, obrigações de proteção e confidencialidade de dados, garantias de disponibilidade, autenticidade, integridade e acessibilidade de dados, acordos de nível de serviço (SLAs) com métricas mensuráveis, obrigações de notificação de incidentes (alinhadas aos prazos de notificação do DORA, exigindo notificação do provedor dentro de prazos que suportem nosso prazo de 4 horas), cooperação do provedor com autoridades competentes, direitos de auditoria (direito de realizar auditorias e inspeções, incluindo no local, ou confiança em certificações de terceiros), disposições de rescisão e períodos de transição adequados, participação em treinamentos de conscientização sobre segurança de TIC. Para serviços que suportam funções críticas ou importantes, adicione cláusulas aprimoradas para: descrição completa do serviço com funções e subfunções claras, metas de desempenho com penalidades associadas, obrigações de continuidade de negócios e recuperação de desastres e testes, obrigações de relatórios (relatórios regulares sobre desempenho do serviço, segurança e alterações materiais), obrigações de assistência à saída (devolução de dados, suporte à transição, assistência à migração), requisitos de subcontratação (aprovação prévia, fluxo descendente das cláusulas do DORA, direito de objeção) e direito irrestrito da entidade financeira de monitorar de forma contínua."

2. Crie uma checklist de revisão de contratos:

   "Crie uma checklist de conformidade de contratos do Artigo 30 do DORA para acordos de serviços de TIC existentes. Para cada requisito do Artigo 30, forneça: a descrição do requisito, avaliação de conformidade (conforme/parcial/não conforme), referência específica à cláusula no contrato existente (se presente), descrição da lacuna (se parcial ou não conforme), linguagem de emenda recomendada e prioridade (crítica para serviços que suportam funções críticas/importantes, padrão para outros). A checklist deve ser utilizável por equipes jurídicas e de compras revisando contratos existentes de forma sistemática. Inclua um mecanismo de pontuação resumida para identificar quais contratos requerem renegociação imediata."

Estratégias de negociação

Use o ISMS Copilot para se preparar para negociações contratuais:

"Crie uma estratégia de negociação de contratos do DORA para discussões com nosso [tipo de provedor, por exemplo, grande provedor de nuvem / fornecedor de sistema bancário principal / provedor de segurança gerenciada]. Aborde objeções comuns dos provedores: 'Não podemos fornecer direitos de auditoria individuais para cada cliente' (discuta a confiança em relatórios SOC 2/ISO 27001, auditorias agrupadas e certificação de terceiros conforme o Artigo 30(3)), 'Não podemos garantir locais específicos de dados' (requisitos do DORA, expectativas regulatórias, abordagens alternativas), 'Nossos SLAs padrão não são negociáveis' (requisitos mínimos do DORA, abordagens de escalonamento), 'Não aceitamos responsabilidade ilimitada' (abordagens proporcionais, negociações de limite). Para cada objeção, forneça: o requisito legal do DORA, abordagens alternativas que satisfaçam a regulamentação, posições de compromisso e estratégias de escalonamento."

Passo 4: Avalie e gerencie o risco de concentração (Artigo 29)

Compreendendo o risco de concentração de TIC

O Artigo 29 exige que as entidades financeiras avaliem o risco de concentração de TIC antes de entrar em acordos de serviços de TIC e de forma contínua. O risco de concentração surge quando a dependência excessiva de um único provedor (ou pequeno grupo de provedores) cria vulnerabilidade sistêmica.

1. Gere o framework de avaliação de risco de concentração:

   "Crie um framework de avaliação de risco de concentração de TIC para o Artigo 29 do DORA. Inclua: definição e escopo do risco de concentração de TIC, metodologia de avaliação abrangendo: dependência de um único provedor (quantas funções críticas dependem de um provedor), dependência do grupo provedor (análise da empresa controladora, subsidiária e provedores afiliados), dependência da pilha tecnológica (dependência de uma única plataforma tecnológica), concentração geográfica (todos os serviços críticos em uma região ou data center), avaliação de substituibilidade (facilidade de substituir cada provedor crítico), concentração da cadeia de suprimentos (múltiplos provedores dependendo da mesma quarta parte), concentração de mercado (número limitado de provedores alternativos em uma categoria de serviço). Para cada dimensão, forneça: critérios de avaliação, métricas de medição, limites de classificação de risco (baixo, médio, alto, crítico) e estratégias de mitigação. Crie um modelo de painel de risco de concentração para relatórios ao órgão de gestão."

2. Realize uma análise de risco de concentração:

   "Com base em nosso registro de provedores de TIC de terceiros, realize uma análise de risco de concentração. Nossos provedores incluem: [liste os principais provedores e serviços]. Analise: quais provedores suportam múltiplas funções críticas (concentração de provedor único), se algum provedor compartilha empresas controladoras ou infraestrutura (concentração de grupo), concentração geográfica de nossos serviços críticos de TIC, disponibilidade de mercado de provedores alternativos para cada serviço crítico, risco sistêmico potencial se nosso provedor mais crítico experimentasse uma grande interrupção e dependências de quarta parte (por exemplo, múltiplos provedores usando a mesma plataforma de nuvem). Classifique o risco de concentração para cada dependência identificada e recomende ações de mitigação."

Mitigação do risco de concentração

Quando riscos de concentração são identificados, desenvolva estratégias de mitigação:

"Para cada risco de concentração alto ou crítico identificado em nossa avaliação, desenvolva estratégias de mitigação. Considere: estratégias multi-provedor (distribuir serviços críticos entre vários provedores), abordagens multi-nuvem ou híbridas, manter capacidades internas como fallback, proteções contratuais (SLAs aprimorados, obrigações de continuidade de negócios, acordos de custódia), medidas de portabilidade tecnológica (evitar lock-in proprietário, usar formatos e padrões portáteis), diversificação geográfica de serviços críticos, gestão de risco de quarta parte (garantir que os provedores tenham sua própria mitigação de risco de concentração) e roteiros de diversificação gradual onde a mudança imediata não é viável. Para cada estratégia de mitigação, forneça: etapas de implementação, estimativa de prazo, considerações de custo, risco residual após a mitigação e pontos de decisão do órgão de gestão."

Passo 5: Desenvolva estratégias de saída (Artigo 28)

Requisitos de estratégia de saída

O DORA exige que as entidades financeiras tenham estratégias de saída para serviços de TIC que suportam funções críticas ou importantes. As estratégias de saída devem garantir que o término ou a transição de um provedor não interrompa os serviços, comprometa os dados ou reduza a conformidade regulatória.

1. Gere modelos de estratégia de saída:

   "Crie modelos de estratégia de saída para conformidade com o Artigo 28 do DORA, abrangendo serviços de TIC que suportam funções críticas ou importantes. Para cada provedor/serviço crítico, a estratégia de saída deve incluir: eventos desencadeadores de saída (falha do provedor, violação de contrato, risco de concentração, mudança estratégica, requisito regulatório), planejamento de transição (opções de estado alvo: provedor alternativo, interno, híbrido), cronograma e marcos de transição (realista para a complexidade do serviço), plano de migração de dados (extração de dados, conversão de formato, validação, exclusão do provedor), requisitos de transferência de conhecimento (documentação, treinamento, entrega operacional), período de execução paralela (duração mínima, critérios de aceitação para transição), requisitos de recursos (equipe interna, suporte externo, orçamento), plano de comunicação (clientes, reguladores, outras partes interessadas), teste e validação de arranjos alternativos antes da transição completa, disposições contratuais que suportam a saída (período de assistência à transição, obrigações de devolução de dados) e avaliação de risco do próprio processo de saída (riscos de transição, medidas de mitigação). Crie modelos para cenários comuns: saída de provedor de nuvem, substituição de sistema principal e transição de serviço gerenciado."

2. Estabeleça testes de estratégia de saída:

   "Crie procedimentos para testar estratégias de saída para provedores críticos de TIC de terceiros. Inclua: frequência de testes (pelo menos revisão anual, teste de componentes-chave), tipos de teste (revisão de mesa do plano de saída, teste de extração parcial de dados, prova de conceito com provedor alternativo, simulação de transição completa), cenários de teste (saída planejada com cooperação, saída de emergência com cooperação limitada do provedor, cenário de insolvência do provedor), critérios de sucesso para cada tipo de teste, documentação e relatório dos resultados dos testes, relatório ao órgão de gestão sobre a prontidão da estratégia de saída e remediação de lacunas identificadas. Forneça um cronograma de testes alinhado com nosso programa geral de testes de resiliência do DORA."

Passo 6: Estabeleça monitoramento contínuo (Artigo 28)

Monitoramento contínuo de provedores

O DORA exige monitoramento contínuo de provedores de TIC de terceiros, não apenas avaliações pontuais. A intensidade do monitoramento deve ser proporcional à criticidade do serviço:

1. Gere o framework de monitoramento:

   "Crie um framework de monitoramento contínuo de provedores de TIC de terceiros para o Artigo 28 do DORA. Inclua atividades de monitoramento: acompanhamento de desempenho de SLA (disponibilidade, tempos de resposta, resolução de incidentes, em relação às metas contratuais), monitoramento da postura de segurança (certificações mantidas, divulgações de vulnerabilidades, notificações públicas de violações), monitoramento da estabilidade financeira (classificações de crédito, relatórios financeiros, notícias de mercado, atividade de aquisição), notificações de incidentes dos provedores (pontualidade, completude, alinhamento com os requisitos do DORA), mudanças de subcontratação (novos subcontratados, mudanças de localização de subcontratados), desenvolvimentos regulatórios que afetam o provedor (ações de fiscalização, mudanças de licença, designação como provedor crítico) e mudanças materiais na prestação de serviços (mudanças tecnológicas, migrações de data center, mudanças de pessoal). Para cada atividade de monitoramento, especifique: frequência (contínua, mensal, trimestral, anual), fontes de dados, função responsável, critérios de escalonamento (quando as descobertas do monitoramento desencadeiam reavaliação ou revisão de contrato) e requisitos de documentação. Crie um modelo de painel de monitoramento."

2. Defina procedimentos de revisão de desempenho do provedor:

   "Crie um procedimento de revisão de desempenho de provedores de TIC de terceiros para conformidade com o DORA. Inclua: frequência de revisão (trimestral para provedores críticos, semestral para importantes, anual para padrão), modelo de pauta de revisão (desempenho de SLA, postura de segurança, incidentes e notificações, subcontratação, mudanças materiais, status de conformidade), participantes (gerente de relacionamento com o provedor, segurança, conformidade), procedimentos de escalonamento para desempenho insatisfatório (solicitações de remediação, monitoramento aprimorado, notificação ao órgão de gestão, gatilhos de rescisão de contrato), requisitos de documentação (atas de revisão, itens de ação, compromissos do provedor) e relatórios resumidos anuais para o órgão de gestão e autoridade competente. Forneça um modelo de relatório de revisão de desempenho do provedor."

Supervisão de subcontratação

O DORA exige supervisão das cadeias de subcontratação. Seu monitoramento deve se estender além de seus provedores diretos:

"Crie um procedimento de supervisão de subcontratação para conformidade com o DORA. Inclua: requisitos contratuais para transparência na subcontratação (notificação ou aprovação prévia, direito de objeção), obrigações do provedor de divulgar subcontratados e seus papéis, critérios de avaliação para subcontratados materiais (mesmos critérios que para o provedor principal), monitoramento de mudanças na cadeia de subcontratação, procedimentos quando os provedores adicionam novos subcontratados (avaliação, revisão de risco, aprovação ou objeção), avaliação de risco de quarta parte (subcontratados de subcontratados), fluxo descendente de requisitos contratuais relevantes do DORA para subcontratados e procedimentos de escalonamento quando os acordos de subcontratação aumentam o risco de concentração. Forneça um modelo de registro de subcontratação e um fluxo de trabalho de avaliação."

Passo 7: Governança e relatórios ao órgão de gestão

Política de risco de TIC de terceiros

O Artigo 28(2) exige uma política sobre o uso de serviços de TIC que suportam funções críticas ou importantes. Esta política deve ser aprovada pelo órgão de gestão:

"Crie uma Política de Gestão de Risco de TIC de Terceiros para o Artigo 28(2) do DORA. Inclua: propósito, escopo e aplicabilidade da política, responsabilidades do órgão de gestão para supervisão do risco de TIC de terceiros, apetite de risco para serviços de TIC de terceiros (níveis aceitáveis de concentração, restrições geográficas, padrões de provedores), requisitos de avaliação pré-contratual (critérios de desencadeamento, profundidade de avaliação por criticidade), padrões contratuais e cláusulas obrigatórias, obrigações de monitoramento e revisão contínuos, requisitos de estratégia de saída e continuidade de negócios, papéis e responsabilidades (gestor de risco de terceiros, CISO, jurídico, compras, proprietários de negócios), procedimentos de escalonamento e exceção, frequência de revisão e atualização da política (pelo menos anual) e integração com o framework geral de gestão de risco de TIC. Torne-a adequada para aprovação pelo órgão de gestão."

Relatórios ao órgão de gestão

Mantenha o órgão de gestão informado sobre o risco de TIC de terceiros por meio de relatórios estruturados:

"Crie um pacote de relatórios ao órgão de gestão sobre o risco de TIC de terceiros sob o DORA. Inclua: resumo do registro de provedores (total de provedores, provedores que suportam funções críticas, novos/terminados acordos), painel de risco de concentração (métricas-chave de dependência, mudanças em relação ao período anterior), status de conformidade dos contratos (percentual de contratos com conformidade total ao Artigo 30 do DORA, progresso de remediação), resumo de desempenho dos provedores (taxas de cumprimento de SLA, incidentes materiais nos provedores, mudanças na postura de segurança), avaliação de prontidão da estratégia de saída, principais riscos e questões emergentes (instabilidade financeira do provedor, ações regulatórias, mudanças tecnológicas) e decisões recomendadas ao órgão de gestão. Forneça um modelo de relatório trimestral e um modelo de revisão abrangente anual."

Passo 8: Aborde considerações transfronteiriças e de grupo

Gestão de risco de TIC de terceiros em nível de grupo

Se sua entidade faz parte de um grupo de serviços financeiros, a gestão de risco de TIC de terceiros do DORA deve ser coordenada em nível de grupo:

"Abordar considerações em nível de grupo para a gestão de risco de TIC de terceiros do DORA. Nossa entidade faz parte de [estrutura do grupo]. Ajude-nos a: consolidar o registro de provedores entre as entidades do grupo (identificar provedores compartilhados, riscos de concentração em nível de grupo), coordenar negociações de contratos para provedores utilizados por múltiplas entidades do grupo, alinhar padrões de avaliação pré-contratual em todo o grupo, compartilhar atividades de monitoramento e descobertas, coordenar estratégias de saída quando múltiplas entidades dependem do mesmo provedor e reportar o risco de TIC de terceiros em nível de grupo ao órgão de gestão da entidade controladora. Forneça um framework de coordenação em grupo."

Requisitos de localização de dados transfronteiriços

O Artigo 30 do DORA exige que os contratos especifiquem os locais de processamento de dados. Para acordos transfronteiriços, aborde as implicações regulatórias:

"Analise as considerações de localização de dados e transfronteiriças para nossos acordos de TIC de terceiros sob o Artigo 30 do DORA. Nossos provedores processam dados em [liste países/regiões]. Avalie: conformidade com os requisitos de divulgação de localização de dados, decisões de adequação do GDPR e mecanismos de transferência para processamento de dados fora da UE, restrições regulatórias sobre localização de processamento de dados financeiros em nossa jurisdição, riscos de processamento de dados em jurisdições com proteções legais mais fracas, obrigações do provedor de notificar mudanças na localização de dados e controles contratuais para manter a conformidade com a localização de dados. Forneça recomendações para cada provedor/serviço onde a localização de dados apresenta risco."

Próximos passos

Agora você tem uma capacidade abrangente de gestão de risco de TIC de terceiros do DORA:

• Registro completo de provedores de TIC de terceiros com dados padronizados
• Framework de avaliação pré-contratual com questionário de segurança do provedor
• Biblioteca abrangente de cláusulas contratuais com checklist de conformidade ao Artigo 30
• Framework de avaliação de risco de concentração e estratégias de mitigação
• Modelos de estratégia de saída e procedimentos de teste
• Framework de monitoramento contínuo com procedimentos de revisão de desempenho
• Política de risco de TIC de terceiros e relatórios ao órgão de gestão

Esta é a conclusão da série de guias de implementação do DORA em cinco partes. Revise a série completa:

• Como começar a implementação do DORA usando IA -- Fundação: escopo, governança, análise de lacunas, roteiro
• Como construir um framework de gestão de risco de TIC do DORA usando IA -- Pilar 1: Artigos 6-16 framework, políticas, controles
• Como implementar o relatório de incidentes do DORA usando IA -- Pilar 2: Artigos 17-23 classificação, relatório, análise de causa raiz
• Como planejar testes de resiliência do DORA usando IA -- Pilar 3: Artigos 24-27 programa de testes, TLPT, remediação
• Como gerenciar o risco de TIC de terceiros do DORA usando IA (este guia) -- Pilar 4: Artigos 28-30 provedores, contratos, risco de concentração

Para prompts prontos para uso cobrindo cada artigo do DORA, consulte a Biblioteca de Prompts de Conformidade com o DORA. Para a visão geral regulatória completa, consulte o Guia de Conformidade com o DORA para Entidades Financeiras.

Obtendo ajuda

Para suporte adicional na gestão de risco de TIC de terceiros do DORA:

• Pergunte ao ISMS Copilot: Use seu espaço de trabalho do DORA para gerar avaliações específicas de provedores, análise de cláusulas contratuais e relatórios de risco de concentração
• Envie contratos: Obtenha análise de conformidade com o Artigo 30 direcionada enviando acordos de serviços de TIC existentes para revisão cláusula por cláusula
• Preparação para negociação: Use o ISMS Copilot para preparar documentos de posição e propostas alternativas de cláusulas antes das negociações com provedores
• Valide saídas: Revise todas as cláusulas contratuais com sua equipe jurídica e verifique os critérios de avaliação em relação aos Artigos 28-30 do DORA e aos Padrões Técnicos Regulatórios relevantes