DORA artigo 28, risco de terceiros TIC: auditoria do fornecedor de alojamento e WAF para WordPress

#DORA artigo 28, risco de terceiros TIC: auditoria do fornecedor de alojamento e WAF para WordPress

O artigo 28 do Regulamento 2022/2554 é a parte do DORA que decide se um cliente do setor financeiro pode sequer assinar um contrato de alojamento ou uma subscrição de WAF. Aplica-se a instituições de crédito, instituições de pagamento, seguradoras, empresas de investimento, prestadores de serviços de criptoativos e cerca de quinze outras categorias do artigo 2. Desde 17 de janeiro de 2025 aplica-se diretamente, sem transposição.

Este é um artigo de apoio ao pilar sobre NIS2 e DORA em WordPress, com remissões para o percurso de evidências do Anexo II da NIS2 e para a visão geral da pilha CRA + NIS2 + DORA.

#TL;DR

• DORA artigo 28 = princípios gerais da gestão do risco de terceiros TIC.
• Artigo 30 = cláusulas contratuais obrigatórias.
• Artigo 31 = regime de designação dos CTPP, conduzido pelas Autoridades Europeias de Supervisão.
• Um mandato WordPress para um banco ou seguradora desencadeia a inscrição no registo, a due diligence, as cláusulas e o plano de saída.
• No registo entram o alojamento, a CDN, o WAF, o plugin de pagamentos e o plugin de envio de e-mails.

#A quem se aplica o DORA no setor financeiro

O artigo 2.º, n.º 1, enumera as entidades financeiras. As mais frequentes nos mandatos WordPress:

• Instituições de crédito e os respetivos grupos.
• Instituições de pagamento e instituições de moeda eletrónica.
• Empresas de investimento, incluindo as que operam MTF ou OTF.
• Prestadores de serviços de criptoativos ao abrigo do MiCA.
• Empresas de seguros e de resseguros.
• Mediadores de seguros acima do limiar de dimensão.
• Prestadores de serviços de financiamento colaborativo.
• Fundos de investimento (gestoras de OICVM, GFIA).

A estes somam-se os terceiros prestadores de serviços de TIC críticos (CTPP), designados ao abrigo do artigo 31.º pelas Autoridades Europeias de Supervisão (EBA, EIOPA e ESMA) através do Comité Conjunto, mediante recomendação do fórum de superintendência. A primeira lista foi publicada a 18 de novembro de 2025 e indica 19 prestadores: clouds públicas (Amazon Web Services, Google Cloud, Microsoft, Oracle), consultoras e empresas de outsourcing de TI (Accenture, Capgemini, IBM, Kyndryl, NTT DATA, Tata Consultancy Services), operadores de telecomunicações e de centros de dados (Colt, Deutsche Telekom, Equinix, InterXion, Orange), fornecedores de dados financeiros (Bloomberg, LSEG Data and Risk) e de software (FIS, SAP). Nenhuma empresa de alojamento WordPress nem nenhuma CDN consta dessa lista. Uma agência WordPress é um terceiro prestador de serviços de TIC comum, e as obrigações dos artigos 28.º a 30.º chegam-lhe através do contrato com a entidade financeira.

#Requisitos do artigo 28 do DORA, número a número

O artigo 28.º tem dez números. Os oito primeiros vinculam a entidade financeira; os n.ºs 9 e 10 encarregam as Autoridades Europeias de Supervisão de elaborar normas técnicas. O que cada um significa para um projeto WordPress:

Artigo 28.º, n.º 1. A entidade financeira gere o risco associado às TIC devido a terceiros como componente integrante do risco associado às TIC no seu quadro de gestão desse risco. A alínea a) é a frase que as compras mais citam: a entidade mantém sempre a responsabilidade pelo cumprimento das suas obrigações, mesmo depois de externalizar o serviço. A alínea b) acrescenta a proporcionalidade, em função da natureza, dimensão, complexidade e importância das dependências de TIC. O fornecedor entrega evidências; a responsabilidade não passa para ele.

Artigo 28.º, n.º 2. Uma estratégia sobre o risco associado às TIC devido a terceiros, revista periodicamente, que inclui uma política sobre a utilização de serviços de TIC que apoiam funções críticas ou importantes. O órgão de administração revê periodicamente os riscos desses contratos. As microempresas e as entidades do regime simplificado do artigo 16.º, n.º 1, ficam fora deste número.

Artigo 28.º, n.º 3. Um registo de informações sobre todos os acordos contratuais relativos a serviços de TIC, distinguindo os que apoiam funções críticas ou importantes. A entidade comunica pelo menos uma vez por ano à autoridade competente o número de novos acordos, as categorias de prestadores e os serviços prestados, disponibiliza o registo completo quando lhe é pedido e informa atempadamente a autoridade de qualquer acordo previsto para uma função crítica ou importante. Para WordPress: alojamento, CDN, WAF, gateway de pagamento, email transacional, fornecedor de IA, monitorização e destino das cópias de segurança.

Artigo 28.º, n.º 4. Antes de assinar, a entidade avalia se o acordo apoia uma função crítica ou importante (alínea a), se as condições de supervisão para a contratação estão cumpridas (alínea b), todos os riscos relevantes, incluindo o risco de concentração do artigo 29.º (alínea c), realiza a due diligence sobre a adequação do prestador (alínea d) e avalia os conflitos de interesses (alínea e).

Artigo 28.º, n.º 5. Só se contrata com prestadores que cumpram normas adequadas de segurança da informação. Para funções críticas ou importantes, a entidade tem em conta as normas mais atualizadas e de mais elevada qualidade. Um relatório ISO/IEC 27001 ou SOC 2 do alojamento só serve de evidência se o seu âmbito cobrir o serviço contratado.

Artigo 28.º, n.º 6. A entidade define previamente, com base no risco, a frequência e as áreas das auditorias e inspeções ao prestador, e verifica que os auditores têm a competência técnica necessária quando o serviço é complexo.

Artigo 28.º, n.º 7. O contrato tem de poder ser resolvido por incumprimento significativo do prestador, por circunstâncias que possam alterar o desempenho das funções (incluindo alterações relevantes na situação do prestador), por fragilidades comprovadas na sua gestão do risco de TIC ou quando a autoridade competente deixe de poder supervisionar eficazmente a entidade por causa do acordo.

Artigo 28.º, n.º 8. Estratégias de saída para os serviços de TIC que apoiam funções críticas ou importantes. A saída não pode perturbar a atividade, limitar o cumprimento regulamentar nem prejudicar a continuidade e a qualidade dos serviços prestados aos clientes. Os planos de saída são abrangentes, documentados, suficientemente testados e revistos periodicamente.

Artigo 28.º, n.ºs 9 e 10. Mandatos para normas técnicas. O n.º 9 deu origem ao Regulamento de Execução (UE) 2024/2956, com os modelos do registo. O n.º 10 deu origem ao Regulamento Delegado (UE) 2024/1773, sobre o conteúdo da política do n.º 2.

#Cláusulas contratuais do artigo 30 do DORA no contrato de alojamento

O artigo 30.º, n.º 1, exige que o contrato completo, incluindo os acordos de nível de serviço, conste de um único documento escrito. O n.º 2 enumera os elementos mínimos de qualquer contrato de TIC; o n.º 3 acrescenta os dos contratos que apoiam funções críticas ou importantes. O modelo de agência que entrego com os contratos de alojamento e WAF segue a mesma numeração:

O n.º 4 acrescenta que as partes devem ponderar cláusulas contratuais-tipo elaboradas por autoridades públicas. Mantenho esta matriz como um único ficheiro Markdown na pasta do projeto. Cada contrato é verificado contra ela antes da assinatura.

#Registo de informação DORA para fornecedores WordPress

Um mandato WordPress para uma entidade financeira envolve mais terceiros TIC do que o departamento de compras costuma prever. O registo que monto no primeiro dia do mandato:

• Fornecedor de alojamento. O operador efetivo do centro de dados, o painel de gestão, a equipa de suporte. Crítico ou importante se o WordPress fizer parte da prestação de serviços aos clientes.
• Fornecedor de CDN. Cloudflare, Fastly, Akamai. Processa o tráfego, vê o conteúdo dos pedidos, termina o TLS. Muitas vezes crítico ou importante.
• Fornecedor de WAF. Por vezes o mesmo da CDN, por vezes separado (Sucuri, Imperva). Inspeciona payloads. Crítico ou importante.
• Plugin de pagamentos. Stripe, Adyen, mollie, gateways locais. O autor do plugin é um fornecedor; o operador do gateway é outro. Ambos entram no registo.
• E-mail transacional. SES, Postmark, SendGrid. Transporta reposições de palavra-passe, notificações KYC, alertas AML. Muitas vezes crítico ou importante.
• Monitorização e APM. New Relic, Datadog, Sentry. Recebe stack traces e fragmentos de payloads.
• Destino das cópias de segurança. S3, Backblaze, Wasabi. Guarda a base de dados e os carregamentos. Dele depende a recuperação, por isso costuma apoiar uma função crítica ou importante.
• Fornecedor de IA. Se o WordPress usar um LLM em funções de contacto com o cliente (chat, resumos), o fornecedor do LLM está no âmbito.
• Marketplace de plugins. WordPress.org, marketplaces premium. Os canais de atualização fazem parte da cadeia de abastecimento no sentido da cadeia de abastecimento de serviços de TIC definida no artigo 1.º, n.º 2, do Regulamento de Execução 2024/2956.

O registo guarda, para cada fornecedor: denominação legal, referência do contrato, descrição do serviço, fluxos de dados, classificação de criticidade, local de tratamento, data da última due diligence e remissão para a estratégia de saída.

#Modelos do registo de informações DORA segundo o Regulamento de Execução 2024/2956

O registo não tem formato livre. O Regulamento de Execução (UE) 2024/2956 fixa os modelos normalizados que a entidade usa para manter o registo do artigo 28.º, n.º 3. Três das suas regras mudam o que uma agência WordPress tem de entregar:

• Identificador do prestador. O artigo 3.º, n.º 5, exige que cada prestador pessoa coletiva seja identificado por um identificador de entidade jurídica (LEI) válido e ativo ou pelo identificador único europeu (EUID), e por ambos quando existam. Para uma sociedade da UE, o EUID resulta do registo comercial; o LEI pede-se à parte. As pessoas singulares que atuam a título profissional ficam excecionadas.
• Posição na cadeia de abastecimento. O artigo 2.º atribui a cada prestador uma posição: o prestador direto tem sempre a posição 1 e cada subcontratante um número superior. Se a agência fatura o alojamento de um terceiro, a agência tem a posição 1 e o alojamento a posição 2.
• Subcontratantes por trás de funções críticas ou importantes. O artigo 3.º, n.º 2, alínea b), obriga a incluir no registo todos os subcontratantes que efetivamente sustentam esses serviços, e o n.º 6 exige que também eles indiquem LEI ou EUID, através do prestador direto.

O artigo 5.º enumera os modelos, entre eles B_05.01 (prestadores diretos e subcontratantes), B_05.02 (cadeia de abastecimento de serviços de TIC), B_06.01 (identificação das funções) e B_07.01 (avaliação dos serviços que apoiam funções críticas ou importantes). Com essa estrutura, a ficha que entrego ao cliente tem, por prestador, a denominação legal, o LEI ou EUID, a posição, o serviço, os locais de prestação e tratamento e a função que apoia.

#Como avaliar o risco de concentração DORA com um único fornecedor de cloud

O risco de concentração tem artigo próprio. O artigo 28.º, n.º 4, alínea c), remete para o artigo 29.º, que obriga a entidade a verificar, para serviços que apoiam funções críticas ou importantes, se o novo contrato a liga a um prestador que não é facilmente substituível ou se acumula vários acordos com o mesmo prestador ou com prestadores estreitamente ligados. Um banco que usa Cloudflare para CDN, Cloudflare Workers para backend, Cloudflare R2 para armazenamento de objetos e Cloudflare Stream para vídeo cai no segundo caso. Não é uma conclusão própria da Cloudflare; funciona da mesma forma com pilhas AWS, Azure ou GCP.

No WordPress costuma ser assim: alojamento na AWS, cópias de segurança no S3, email através do SES, monitorização com CloudWatch. Quatro dependências da AWS, um único fornecedor. O artigo 29.º, n.º 1, pede que se ponderem os benefícios e os custos de alternativas, como o recurso a prestadores diferentes; não obriga a diversificar a qualquer preço. O registo de riscos tem de reconhecer a concentração de forma explícita e justificá-la ou planear a diversificação. O artigo 29.º, n.º 2, acrescenta, para subcontratantes estabelecidos num país terceiro, o direito da insolvência aplicável, as restrições à recuperação urgente dos dados e o cumprimento das regras da União em matéria de proteção de dados.

#Estratégia de saída DORA para alojamento e WAF WordPress

O artigo 28.º, n.º 8, exige que a estratégia de saída seja documentada e testada. Para alojamento e WAF WordPress, uma estratégia de saída real inclui:

• Exportação da base de dados em formato normalizado. Dump SQL compatível com MySQL ou MariaDB de origem, sem extensões proprietárias.
• Exportação do sistema de ficheiros com os carregamentos. Arquivo tar ou zip, descarregável fora do painel do fornecedor.
• Controlo do DNS. A conta no registo de domínios pertence à entidade financeira, não à agência nem ao fornecedor de alojamento.
• Portabilidade das licenças de plugins e temas. Licenças em nome da entidade, transferíveis para o novo fornecedor de alojamento.
• Transição testada. Um ambiente de staging num fornecedor de alojamento alternativo que pode passar a produção num tempo documentado. O teste fica registado e datado.
• Janela de transição contratual. O artigo 30.º, n.º 3, alínea f), exige um período de transição obrigatório durante o qual o prestador continua a prestar o serviço enquanto a entidade migra. O contrato de alojamento fixa a sua duração e o preço.
• Devolução dos dados. O artigo 30.º, n.º 2, alínea d), exige que a entidade possa aceder aos seus dados, recuperá-los e recebê-los num formato facilmente acessível se o prestador entrar em insolvência, cessar a atividade ou o contrato terminar.

O orçamento dos mandatos que incluem o pacote de estratégia de saída é individual; o próprio documento de saída leva dias, não horas, e é um resultado do mandato.

#Como o DORA muda a contratação de uma agência WordPress

Uma agência WordPress que chega com a matriz das cláusulas do artigo 30 preenchida, um modelo de registo de fornecedores pronto e uma estratégia de saída testada passa mais depressa pelo processo de compras. A entidade financeira não tem de traduzir o artigo 28 num contrato; incorpora os materiais preparados pela agência no seu próprio quadro de gestão do risco TIC.

É também por isso que um cliente regulado filtra a lista curta de fornecedores por jurisdição. Uma agência da UE sujeita ao direito da União elimina uma camada de atrito; uma agência de fora da UE obriga a entidade a ponderar ainda o que o artigo 29.º, n.º 2, exige para um país terceiro: o direito da insolvência aplicável, a recuperação urgente dos dados e o cumprimento das regras da União em matéria de proteção de dados.

#Como classificar uma função crítica ou importante no DORA

O artigo 3.º, ponto 22, do DORA define a função crítica ou importante como aquela cuja perturbação comprometeria significativamente o desempenho financeiro da entidade ou a solidez ou continuidade dos seus serviços e atividades, ou cuja falha comprometeria significativamente o cumprimento das condições da sua autorização ou das suas restantes obrigações ao abrigo do direito dos serviços financeiros. A criticidade não é decidida pela marca nem pelo valor do contrato. O ponto de partida é a função suportada pelo serviço e o efeito da sua indisponibilidade, degradação ou comprometimento. O site informativo de um banco pode ser importante para a comunicação sem suportar diretamente um serviço financeiro crítico. Um plugin barato que trata a autenticação ou o estado dos pagamentos pode ter um impacto operacional muito maior do que o custo da licença sugere.

A ficha de classificação deve indicar o serviço de negócio, o responsável pelo processo, os clientes afetados, os dados, os objetivos de recuperação, os contornos manuais possíveis e as dependências de outros fornecedores. Regista também quem aprovou a qualificação como função crítica ou importante e a data da próxima revisão. Esta decisão define a profundidade da due diligence e as condições adicionais do artigo 30. Não é um rótulo que o fornecedor possa atribuir a si próprio. O artigo 3.º, n.º 2, do Regulamento Delegado 2024/1773 exige que a política da entidade estabeleça a metodologia para determinar que serviços de TIC apoiam funções críticas ou importantes e quando essa avaliação é revista.

#Lista de evidências para a due diligence do fornecedor TIC

O departamento de compras deve receber evidências relativas ao serviço concreto, não uma pasta genérica de segurança. Para alojamento, CDN, WAF ou manutenção WordPress, o pacote inclui normalmente:

• entidade jurídica, grupo proprietário, locais de prestação do serviço e subcontratantes;
• limites da arquitetura e dos fluxos de dados, incluindo o acesso administrativo e os canais de suporte;
• evidências de MFA, revisões de acessos privilegiados e revogação de acessos;
• processos de vulnerabilidades, correções e alterações, com exemplos recentes do seu funcionamento;
• circuito de notificação de incidentes, contactos de escalonamento e preservação de evidências;
• resultados dos testes de recuperação e de continuidade relativos ao serviço contratado;
• relatórios independentes, o seu âmbito, exclusões e estado das ações corretivas;
• SLA proposto, objetivos de recuperação, apoio à auditoria e assistência no fim do contrato.

Um certificado apoia a avaliação, mas não prova automaticamente que abrange o painel de gestão do WordPress, a equipa de suporte e o destino das cópias de segurança. No registo de evidências, anote a data, o período abrangido pela análise, quem avaliou e as questões em aberto. Se o material for confidencial, pode acordar-se uma consulta controlada, um relatório independente ou uma cláusula específica. Uma lacuna não deve ser marcada como cumprida só porque o fornecedor se recusou a entregar o documento.

#Subcontratação no DORA nos fornecedores WordPress

A contraparte direta raramente gere toda a pilha. Uma agência de WordPress gerido pode usar cloud, CDN, um sistema de tickets, monitorização e suporte externo. O contrato e o registo têm de distinguir a parte contratual das entidades que efetivamente armazenam dados, administram o sistema ou suportam uma função crítica ou importante.

É preciso definir que alterações na subcontratação exigem notificação, o que a comunicação contém, como funcionam a oposição ou a rescisão e o que acontece aos dados existentes. A avaliação abrange também a concentração no quarto nível. Dois fornecedores aparentemente independentes podem depender do mesmo hyperscaler, do mesmo operador de DNS ou do mesmo fornecedor de identidade. Uma lista recolhida na assinatura e nunca atualizada não é um controlo eficaz.

O Regulamento Delegado (UE) 2025/532, que desenvolve o artigo 30.º, n.º 2, alínea a), concretiza estas condições. Nos termos do seu artigo 3.º, a entidade decide antes de assinar se o prestador pode subcontratar um serviço que apoia uma função crítica ou importante, e só assina se o prestador souber avaliar os seus subcontratantes e conseguir identificá-los a todos. O artigo 4.º exige que o contrato indique que serviços podem ser subcontratados e que o prestador continue responsável pelos serviços dos seus subcontratantes e os acompanhe. O artigo 5.º regula as alterações relevantes: o prestador comunica-as com antecedência suficiente, o contrato fixa um prazo razoável para as aprovar ou se opor, e a alteração só é aplicada depois de a entidade a aprovar ou deixar passar o prazo sem oposição.

#Como testar a saída de um fornecedor TIC

Dois logótipos num diagrama não garantem diversificação. Se o alojamento de reserva usa a mesma região de cloud, a conta de cópias de segurança o mesmo sistema de identidade e o DNS continua sob o controlo do fornecedor de saída, a alternativa pode falhar juntamente com o serviço principal. Mapeie a propriedade partilhada, a infraestrutura, a geografia, as credenciais administrativas e o conhecimento especializado.

O teste de saída deve confirmar que uma equipa autorizada consegue obter os dados e a configuração atuais, verificar a integridade, restaurar o serviço, redirecionar o tráfego, preservar os registos exigidos e revogar o acesso antigo. Meça o tempo e compare-o com a tolerância de negócio aceite. Registe os passos manuais, as limitações de licenciamento, os problemas de formato e as funções que não foi possível restaurar. O resultado pode ser um risco residual aceite, um plano de melhoria ou a mudança de origem do serviço. O artigo 28 não impõe automaticamente a duplicação de cada dependência independentemente do custo.

#Revisão periódica do fornecedor TIC e critérios de aceitação

A frequência da reavaliação depende da criticidade e das alterações. O artigo 28.º, n.º 6, exige que a frequência e as áreas das auditorias sejam definidas previamente, e o artigo 3.º, n.º 1, do Regulamento Delegado (UE) 2024/1773 obriga o órgão de administração a rever pelo menos uma vez por ano a política sobre serviços de TIC que apoiam funções críticas ou importantes. Uma nova revisão do fornecedor deve ainda ser desencadeada por um incidente grave, uma aquisição, um novo local de tratamento, uma alteração relevante de subcontratante, uma reformulação do serviço ou incumprimentos repetidos do SLA. O responsável pelo serviço, as compras, a segurança, o departamento jurídico e a proteção de dados precisam de papéis atribuídos. Enviar um questionário anual sem avaliar as respostas não constitui supervisão eficaz.

Antes da aceitação devem existir: um responsável pelo controlo, um registo de evidências completo, lacunas contratuais resolvidas ou exceções formalmente aceites, a inscrição no registo, um plano de saída exequível e a data da próxima revisão. A aceitação separa os factos confirmados, as declarações do fornecedor, os elementos fora do âmbito e o risco residual. A auditoria do fornecedor reduz a incerteza, mas não certifica a conformidade da entidade financeira com o DORA nem garante a continuidade do serviço.

Para definir o âmbito de um orçamento, envie um briefing escrito com a função financeira, o fornecedor e o serviço, a arquitetura, as classes de dados, os subcontratantes conhecidos, os objetivos de recuperação, o estado do contrato e o prazo de compras. Uma auditoria de prontidão NIS2 e DORA pode então organizar o registo de fornecedores, as lacunas de evidências, a checklist do contrato, a análise de concentração e o plano de novo teste para a superfície WordPress.

#Textos relacionados sobre conformidade

• Pilar: NIS2 e DORA em WordPress: pilha de conformidade 2026