DORA e KYC: Fornecedores de Identidade São Terceiros ICT

Quando o Regulamento de Resiliência Operacional Digital (DORA) entrou em plena aplicação a 17 de janeiro de 2025, as equipas de conformidade estavam focadas no óbvio: prazos de notificação de incidentes, programas de testes de penetração e enquadramentos de gestão de riscos TIC. Os fornecedores de verificação de identidade mal eram mencionados nas conversas de implementação.

Essa lacuna está a fechar rapidamente. Dezoito meses após a aplicação do DORA, os reguladores e as equipas de auditoria interna estão agora a escrutinar os fornecedores externos de quem as entidades financeiras dependem para operações contínuas — e as plataformas KYC enquadram-se plenamente nessa categoria. Para qualquer CASP, banco, instituição de pagamento ou empresa de investimento que utilize um fornecedor externo de verificação de identidade, o DORA já alterou como essa relação deve ser do ponto de vista contratual, operacional e de gestão de risco.

O que o DORA Realmente Exige

O DORA (Regulamento UE 2022/2554) estabelece um enquadramento harmonizado para o risco TIC no setor financeiro europeu. Aplica-se a bancos, seguradoras, empresas de investimento, prestadores de serviços de criptoativos (CASP) sob o MiCA, instituições de pagamento e instituições de moeda eletrónica — além dos fornecedores TIC que as suportam.

O regulamento assenta em cinco pilares:

1. Gestão do risco TIC — enquadramentos de risco documentados, registos de ativos e planos de recuperação
2. Notificação de incidentes TIC — classificação e notificação às autoridades competentes nacionais (ACN) em prazos definidos
3. Testes de resiliência operacional digital — testes regulares incluindo Testes de Penetração Orientados por Ameaças (TLPT)
4. Gestão do risco de terceiros TIC — avaliação estruturada de todos os fornecedores de serviços
5. Partilha de informações — troca voluntária de informações sobre ameaças

Para o KYC, o quarto pilar é determinante. O artigo 28.º do DORA exige que as entidades financeiras mantenham um registo completo de fornecedores terceiros de serviços TIC. O artigo 30.º estabelece os elementos contratuais obrigatórios para cada acordo com esses fornecedores. E os artigos 31.º a 44.º estabelecem um processo de designação para fornecedores considerados "críticos" — aqueles cuja falha teria efeitos sistémicos no setor financeiro.

Por que os Fornecedores KYC Caem sob as Regras de Terceiros TIC

Uma plataforma de verificação de identidade não é um processador de pagamentos nem um fornecedor de core banking no sentido tradicional. Mas é um fornecedor terceiro de serviços TIC ao abrigo da definição do DORA: qualquer empresa que preste serviços digitais e de dados de forma contínua a entidades financeiras, incluindo plataformas cloud, análise de dados, software como serviço e qualquer componente de serviço que suporte processos de negócio.

Essa definição abrange praticamente todas as soluções KYC alojadas externamente.

O teste operacional é simples: se o seu fornecedor de verificação de identidade ficasse offline às 09h00 de uma segunda-feira, conseguiria continuar a integrar clientes, concluir verificações de renovação ou processar transações que requeiram confirmação de identidade? Para a maioria das entidades financeiras, a resposta é não — ou não sem uma perturbação operacional significativa. Essa dependência torna o fornecedor TIC-crítico para a postura de resiliência da entidade.

Ao abrigo do artigo 30.º, cada contrato com tal fornecedor deve agora incluir:

Requisito Contratual	Finalidade ao Abrigo do DORA
Descrição completa dos serviços e localizações dos dados	Saber onde ocorre o processamento e quais as jurisdições aplicáveis
Acordos de nível de serviço com métricas de desempenho definidas	Base para monitorização e escalada de incidentes
Acessibilidade aos dados aquando da rescisão	Suporte à estratégia de saída
Participação em testes de resiliência DORA (quando aplicável)	Direitos de inclusão em TLPT
Divulgação de subprocessadores	Visibilidade do risco de terceiros e quartos
Direitos de auditoria e direito de inspeção	Supervisão direta pela entidade financeira ou terceiro designado
Prazos de notificação de incidentes	Notificação coordenada às ACN
Disposições de continuidade de negócio	Obrigações de recuperação do lado do fornecedor

Se o seu contrato atual com o fornecedor KYC foi celebrado antes de janeiro de 2025 e não foi renegociado, quase certamente não contém todos estes elementos. Isso é agora uma lacuna de conformidade.

A Designação Crítica de PSTTIC — E o que Significa para os Fornecedores de Identidade

Ao abrigo dos artigos 31.º a 44.º, o Comité Conjunto das Autoridades Europeias de Supervisão (AES — ABE, EIOPA e ESMA) designa certos fornecedores TIC como "fornecedores terceiros críticos de serviços TIC" (PSTTIC críticos). Estes fornecedores ficam sujeitos a supervisão direta por um Supervisor Principal designado de uma das AES.

Os critérios de designação incluem o risco de concentração (quantas entidades financeiras dependem do fornecedor), a relevância sistémica transfronteiriça e a criticidade para as funções reguladas. As grandes plataformas de verificação de identidade que servem centenas de bancos e CASP em toda a UE são candidatas plausíveis à designação.

A designação tem consequências operacionais reais:

• Acesso do Supervisor Principal: a AES designada pode solicitar documentos, realizar inspeções no local e emitir recomendações
• Obrigações de remediação: as entidades financeiras devem garantir que os seus fornecedores críticos cumpram as recomendações das AES em prazos definidos
• Requisitos de estratégia de saída: as entidades financeiras devem manter planos credíveis para migrar para outro fornecedor, se necessário

Para as equipas de conformidade, isso significa que a diligência devida em relação aos fornecedores já não é um exercício pontual de aquisição. É uma obrigação contínua. A mesma mudança do monitoramento periódico para o contínuo que define o KYC perpétuo aplica-se igualmente à gestão do risco de fornecedores ao abrigo do DORA.

Os CASP Têm uma Dupla Exposição

Os prestadores de serviços de criptoativos ao abrigo do MiCA já operam sob uma densa pilha regulatória. As obrigações da Regra de Viagem do MiCA exigem que os CASP transmitam informações sobre o ordenante e o beneficiário em cada transferência de criptoativos. Cumprir essas obrigações depende do acesso contínuo a dados de identidade — o que, na maioria dos casos, significa uma plataforma KYC externa.

O DORA acrescenta uma segunda camada. Os CASP estão no âmbito como entidades financeiras ao abrigo do DORA. Os seus fornecedores de verificação de identidade estão no âmbito como terceiros TIC. A interseção cria obrigações compostas: o CASP deve cumprir os requisitos KYC do MiCA, e também deve garantir que a plataforma KYC que cumpre essa conformidade satisfaz os padrões de resiliência do DORA.

O ambiente de aplicação pós-MiCA já elevou o nível para a qualidade do KYC cripto. O DORA eleva o nível para a resiliência do KYC cripto. Os CASP que assinalaram a caixa do MiCA mas não revisaram os seus contratos de fornecedor KYC ao abrigo do enquadramento do artigo 30.º do DORA estão sentados numa segunda exposição de conformidade.

O que as Entidades Financeiras Devem Fazer Antes do Final do Ano

As AES publicaram a sua orientação final sobre o enquadramento de gestão do risco de terceiros do DORA em meados de 2025. Em agosto de 2026, a maioria das grandes entidades financeiras deveria ter concluído as suas avaliações iniciais de risco TIC de terceiros e renegociado os contratos. As entidades mais pequenas — em particular as instituições de pagamento e as instituições de moeda eletrónica — têm sido mais lentas, e as lacunas estão a aparecer no diálogo de supervisão.

Uma lista de verificação prática para as equipas de conformidade que revêm os seus acordos com fornecedores KYC:

Inventário e classificação

• O fornecedor de verificação de identidade está no seu registo de terceiros DORA?
• Foi classificado por nível de criticidade (crítico, importante ou padrão)?
• Estão todos os subprocessadores e gestores de dados a jusante documentados?

Revisão contratual

• O contrato inclui os elementos obrigatórios do artigo 30.º?
• Os direitos de auditoria são explícitos e exercíveis?
• Existe uma estratégia de saída documentada com termos de portabilidade de dados definidos?

Monitorização contínua

• Os KPI e SLA estão a ser acompanhados e reportados?
• Existe um processo para escalar a degradação do desempenho do fornecedor para o comité de risco?
• O fornecedor forneceu evidências do seu próprio enquadramento de gestão do risco TIC?

Resposta a incidentes

• O fornecedor tem a obrigação de notificá-lo dentro de prazos compatíveis com o DORA?
• Existe um protocolo conjunto de resposta a incidentes testado pelo menos anualmente?

O Argumento para a Monitorização Agêntica

A gestão manual do risco de fornecedores não escala. Uma equipa de conformidade que gere dez fornecedores TIC com ciclos de revisão trimestrais encontrará impossível manter visibilidade em tempo real sobre o estado operacional, a postura de segurança e o desempenho de SLA de cada fornecedor. É precisamente aqui que os agentes de IA em conformidade oferecem uma vantagem estrutural.

Os sistemas agênticos podem monitorizar o desempenho de SLA dos fornecedores de forma contínua, sinalizar anomalias nos tempos de processamento ou taxas de falha, acompanhar divulgações públicas e registos regulatórios de fornecedores terceiros, e acionar fluxos de escalada quando limiares predefinidos são ultrapassados. A mesma lógica de IA que torna o KYC agêntico eficaz na monitorização contínua de clientes aplica-se diretamente à monitorização contínua de fornecedores.

O DORA não exige ferramentas específicas. Mas exige processos contínuos — e os processos contínuos, em escala, requerem automação.

A Aplicação Está a Chegar

O primeiro ciclo de supervisão DORA pelas ACN em toda a UE está agora em curso. As AES estão a consolidar registos de terceiros para identificar padrões de risco de concentração. As entidades que não renegociaram os seus contratos com fornecedores KYC, mantiveram os seus registos de terceiros ou estabeleceram programas de monitorização contínua estão cada vez mais visíveis para os supervisores.

As consequências da aplicação não são triviais. O DORA confere às ACN o poder de impor:

• Sanções pecuniárias periódicas de até 1% do volume de negócios mundial médio diário por incumprimento por parte de entidades financeiras
• Proibições temporárias do uso de serviços TIC de fornecedores críticos não conformes
• Divulgação pública das infrações

Para as fintechs mais pequenas e os CASP, o dano reputacional da divulgação pública pode exceder a sanção financeira. Os requisitos de conformidade KYC ao abrigo da Lei de IA já concentraram a atenção dos conselhos de administração na governação tecnológica nos sistemas de identidade. O DORA acrescenta a resiliência operacional a essa agenda de governação.

O que Perguntar ao seu Fornecedor KYC Agora

A ação mais direta que as entidades financeiras podem tomar é abordar os seus fornecedores de verificação de identidade com um conjunto estruturado de questões relacionadas com o DORA. As respostas do fornecedor revelam tanto a postura de conformidade do próprio fornecedor como as lacunas no seu enquadramento contratual existente:

• Tem um enquadramento documentado de gestão do risco TIC alinhado com o DORA?
• Qual é a sua classificação de incidentes TIC graves e o prazo de notificação?
• Foi sujeito, ou antecipa ser sujeito, a uma revisão de designação como PSTTIC crítico?
• Pode fornecer um registo dos seus subprocessadores materiais e das suas localizações geográficas?
• Que direitos de auditoria pode oferecer — documentais, remotos ou no local?
• Que compromissos de continuidade de negócio pode assumir para a disponibilidade da verificação de identidade?
• Tem um programa de testes de penetração publicado?

Os fornecedores que não conseguem responder claramente a estas questões não estão prontos para o DORA. E se o seu fornecedor não estiver pronto, a dependência da sua entidade em relação a eles é um risco documentado que os supervisores irão encontrar.

---

Perguntas Frequentes

O DORA aplica-se a fornecedores KYC fora da UE que servem entidades financeiras europeias?

Sim. As regras de gestão do risco de terceiros do DORA aplicam-se com base no local onde a entidade financeira é regulada, não onde o fornecedor está sediado. Um banco da UE que utilize uma plataforma de verificação de identidade sediada nos EUA deve igualmente garantir que essa plataforma cumpre os requisitos contratuais do artigo 30.º do DORA e participa nos regimes de testes aplicáveis.

Quando é que a designação crítica de PSTTIC afeta a minha entidade?

Uma vez que um fornecedor é designado crítico, as entidades financeiras que o utilizam devem garantir o cumprimento das recomendações do Supervisor Principal. A lista inicial de designações foi publicada pelas AES em 2025. As entidades financeiras devem verificar se algum dos seus fornecedores TIC consta dessa lista.

Uma plataforma KYC é sempre um "fornecedor terceiro de serviços TIC" ao abrigo do DORA?

A definição do DORA é ampla: qualquer empresa que preste serviços TIC a uma entidade financeira de forma contínua. Uma plataforma de verificação de identidade que presta serviços via API ou modelo SaaS enquadra-se nesta definição. As soluções on-premises em que a entidade financeira controla toda a infraestrutura podem ser tratadas de forma diferente, mas os deployments alojados na cloud ou híbridos estão geralmente no âmbito.

Quais são as consequências se o fornecedor KYC de uma entidade financeira sofrer uma interrupção grave?

Ao abrigo do DORA, uma interrupção grave de um fornecedor terceiro TIC crítico que cause perturbação operacional nas atividades reguladas de uma entidade financeira desencadeia obrigações de notificação de incidentes. A entidade financeira deve notificar a sua ACN dentro do prazo definido (notificação inicial em 4 horas após a classificação, relatório intermédio em 72 horas, relatório final num mês). O incumprimento da notificação é em si mesmo uma violação do DORA.

Um agente de IA pode ajudar com a monitorização de fornecedores ao abrigo do DORA?

Sim. Os sistemas agênticos podem monitorizar o desempenho de SLA, sinalizar degradação nos tempos de resposta do fornecedor, acompanhar divulgações públicas de incidentes de terceiros e acionar escaladas automatizadas. Isso não substitui as obrigações de governação humana ao abrigo do DORA — a supervisão do comité de risco e os direitos de auditoria continuam a ser processos dirigidos por pessoas — mas melhora significativamente a postura de monitorização contínua que o DORA exige.

O DORA interage com o RGPD para dados KYC processados por terceiros?

Sim, e a interação cria obrigações duplas. Ao abrigo do RGPD, os dados de identidade processados por um fornecedor KYC estão sujeitos aos requisitos de acordo de processamento de dados e às regras de transferência de dados. Ao abrigo do DORA, a mesma relação com o fornecedor está sujeita às obrigações de gestão do risco de terceiros TIC. Ambos os enquadramentos devem ser satisfeitos simultaneamente, o que normalmente significa um acordo combinado com o fornecedor que abranja os termos DPA do artigo 28.º do RGPD e os elementos contratuais do artigo 30.º do DORA.