DORA vs NIS2: o que o seu trabalho NIS2 já cobre

Para entidades financeiras da UE, o DORA substitui as regras de segurança da NIS2. A maior parte do trabalho é a mesma; as diferenças estão no risco de terceiros, nos testes e nos relatórios.

Se você trabalha em uma entidade financeira da UE, a questão não é se o DORA ou a NIS2 se aplica ao seu programa de segurança. A NIS2 permite que um ato específico do setor da União com requisitos de cibersegurança pelo menos equivalentes tenha precedência, e, para o setor financeiro, esse ato é o Regulamento sobre a Resiliência Operacional Digital, Regulamento (UE) 2022/2554, que se aplica desde 17 de janeiro de 2025.

A questão prática é outra: se você já construiu um programa NIS2, ou gerencia um para o restante do seu grupo, quanto dele se aproveita? Nossos dados respondem a isso artigo por artigo.

O número principal

Dos 22 artigos de DORA, 20 (91%) mapeiam para algo em NIS2, 1 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Leia isso como “onde o seu trabalho NIS2 já aponta”, não como “concluído”. Nenhuma correspondência publicada liga o DORA à NIS2, então todos os vínculos aqui são editoriais da ControlMapping: mapeamos o DORA no nível de parágrafo e alínea para os mesmos tópicos de segurança do Regulamento de Execução da NIS2, e o motivo de cada vínculo aparece na página do requisito.

DORA artigo por artigo

DORA	Requisito	Correspondência	NIS2
Art.5(2)(a)	Governance and organisation	Editorial	2.1 7.1 1.2 2.2
Art.6(1)	ICT risk management framework	Editorial	2.1 7.1 13.1 13.2
Art.7	ICT systems, protocols and tools	Sem mapeamento em nossos dados	—
Art.8(1)	Identification	Editorial	12.1 12.4 2.1 6.5
Art.9(1)	Protection and prevention	Editorial	3.2 12.2 12.3 1.1
Art.10(1)	Detection	Editorial	3.2 3.4 10.2 10.4
Art.11(1)	Response and recovery	Editorial	4.1 4.3 3.1 3.5
Art.12(1)	Backup policies and procedures, restoration and recovery procedures and methods	Editorial	4.2 4.1
Art.13(1)	Learning and evolving	Editorial	3.5 3.6 8.1 8.2
Art.14(1)	Communication	Editorial	4.3
Art.16(1)	Simplified ICT risk management framework	Editorial	2.1 7.1
Art.17(1)	ICT-related incident management process	Editorial	3.1 3.5 4.3
Art.18(1)	Classification of ICT-related incidents and cyber threats	Editorial	3.1 3.3 3.5
Art.19(1)	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	Editorial	3.3
Art.24(1)	General requirements for the performance of digital operational resilience testing	Editorial	2.1 7.1
Art.25(1)	Testing of ICT tools and systems	Editorial	6.5 6.10
Art.26(1)	Advanced testing of ICT tools, systems and processes based on TLPT	Editorial	6.5 6.10
Art.27(1)	Requirements for testers for the carrying out of TLPT	Editorial	6.5 6.10
Art.28(2)	General principles	Editorial	5.1 6.1 5.2
Art.29(1)	Preliminary assessment of ICT concentration risk at entity level	Editorial	5.1 6.1
Art.30(2)	Key contractual provisions	Editorial	5.1 5.2 6.1 12.5
Art.45(1)	Information-sharing arrangements on cyber threat information and intelligence	Vagamente relacionado	2.1 4.3 6.10

A sobreposição é ampla porque os dois textos descrevem o mesmo programa: uma estrutura documentada de gestão de riscos, identificação de ativos, proteção e detecção, tratamento de incidentes, continuidade de negócios e segurança de fornecedores. Quando o DORA tem uma contrapartida direta no Regulamento de Execução, o assunto coincide; o detalhe, muitas vezes, não.

Fotografia de uma pilha de contratos impressos e grossos, com clipes para pastas e separadores coloridos sobre uma mesa de escritório — O DORA transforma contratos com fornecedores em um conjunto de documentos regulamentados.

O que o DORA acrescenta

Um registro de informações. O artigo 28(3) exige um registro de todos os acordos contratuais para serviços de TIC, mantido no nível da entidade e do grupo, com relatórios anuais à autoridade competente. A NIS2 pede que você gerencie a segurança de fornecedores; não exige um registro regulamentado.
Cláusulas contratuais obrigatórias. O artigo 30 lista o que todo contrato de serviços de TIC deve conter, incluindo onde os dados são processados, o acesso e a devolução dos dados, a assistência em caso de incidente sem custo adicional ou com custo definido antecipadamente, e direitos de rescisão. Contratos para funções críticas ou importantes acrescentam direitos de auditoria, participação em testes orientados por ameaças e períodos de saída.
Risco de concentração e saída. Antes de contratar, o artigo 29 pergunta se um provedor seria difícil de substituir e como as cadeias de subcontratação afetam você; o artigo 28(8) exige estratégias de saída testadas para funções críticas ou importantes.
Teste de penetração orientado por ameaças. Entidades selecionadas por sua autoridade devem executar TLPT em sistemas de produção em operação pelo menos a cada três anos (artigo 26), com testadores que atendam aos requisitos do artigo 27. O Regulamento de Execução da NIS2 pede que você avalie a eficácia das suas medidas; não prescreve TLPT.
Classificação de incidentes e relatórios em etapas. O artigo 18 define os critérios que determinam se um incidente é grave, e o artigo 19 exige uma notificação inicial, relatórios intermediários e um relatório final. A NIS2 tem seu próprio prazo: um alerta precoce em 24 horas, uma notificação em 72 horas e um relatório final em um mês. Se você reportar sob os dois regimes em partes diferentes de um grupo, mantenha dois procedimentos.
Deveres nomeados do órgão de gestão. Ambos responsabilizam a alta administração. O DORA detalha o que o órgão de gestão deve aprovar, desde a estratégia de resiliência operacional digital até a política sobre serviços de terceiros de TIC (artigo 5(2)).

A outra direção

Dos 49 pontos de requisito de NIS2, 44 (90%) mapeiam para algo em DORA, 5 são apenas vagamente relacionados e 0 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Vindo do DORA, o Regulamento de Execução da NIS2 acrescenta pouco de novo em substância. Alguns pontos de requisito compartilham apenas um resultado amplo com o DORA em nossos dados, geralmente porque o DORA trata o assunto em suas normas técnicas, que não mapeamos. Verifique estes:

NIS2	Requisito	Correspondência	DORA
6.2	Secure development life cycle	Vagamente relacionado	Art.8(1)Art.8(4)Art.8(6)
6.3	Configuration management	Vagamente relacionado	Art.28(8)Art.30(2)
6.9	Protection against malicious and unauthorised software	Vagamente relacionado	Art.9(1)Art.10(1)Art.10(3)Art.10(2)
10.1	Human resources security	Vagamente relacionado	Art.5(4)Art.10(3)Art.13(6)
10.3	Termination or change of employment procedures	Vagamente relacionado	Art.10(3)

Se você já estruturou o programa para a NIS2

Confirme qual regime se aplica a cada entidade do grupo. Entidades financeiras seguem o DORA; outras empresas do grupo podem continuar sob a NIS2.
Reaproveite o núcleo. Avaliação de riscos, inventários de ativos, controle de acesso, registro de logs, resposta a incidentes e planos de continuidade se aproveitam; ajuste as frequências de revisão às do DORA (por exemplo, a estrutura de gestão de riscos de TIC é revisada pelo menos uma vez por ano).
Construa a camada de terceiros. Comece cedo o registro de informações e revise seus modelos de contrato em relação ao artigo 30. Essa costuma ser a maior parte do trabalho novo.
Planeje os testes. Mesmo que sua autoridade não tenha selecionado você para o TLPT, o artigo 24 exige um programa de testes, com testes anuais dos sistemas que sustentam funções críticas ou importantes.
Separe os procedimentos de relatório quando os dois regimes se aplicarem no grupo.

Principais conclusões

O trabalho com NIS2 cobre a maior parte do conteúdo do DORA; a análise de lacunas mostra isso requisito a requisito.
O trabalho distintivo do DORA é o risco de terceiros: o registro, as cláusulas contratuais, o risco de concentração e a saída.
Testes de penetração orientados por ameaças e a classificação de incidentes do DORA não têm equivalente na NIS2.

Próximos passos

A página do framework DORA lista cada artigo que mapeamos com seu texto oficial, a comparação NIS2 vs DORA mostra as duas direções por completo, e nosso guia da NIS2 cobre o lado da NIS2.

Perguntas

Uma entidade financeira precisa cumprir tanto o DORA quanto a NIS2?

Para a gestão de riscos de TIC e o relatório de incidentes, uma entidade financeira no escopo do DORA segue o DORA: a NIS2 permite que um ato específico do setor da União com requisitos pelo menos equivalentes tenha precedência, e o DORA é esse ato para o setor financeiro. Grupos que também incluem entidades não financeiras, e provedores de TIC que atendem bancos, ainda podem cumprir ambos.

Existe um mapeamento oficial entre DORA e NIS2?

Nenhuma correspondência publicada relaciona os dois. Os vínculos na ControlMapping são editoriais: mapeamos o DORA no nível de parágrafo e alínea para os mesmos tópicos de segurança do Regulamento de Execução da NIS2, e cada vínculo mostra seu motivo.

O que o DORA exige que a NIS2 não exige?

Principalmente um registro de informações sobre todos os contratos de serviços de TIC, uma lista detalhada de cláusulas contratuais obrigatórias, uma avaliação do risco de concentração de TIC, estratégias de saída e testes de penetração orientados por ameaças pelo menos a cada três anos para entidades selecionadas por sua autoridade.

Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.

DORA vs NIS2: o que um programa NIS2 já cobre