Implementação do normativo DORA, integrado no modelo de governação em cibersegurança, numa seguradora do ramo vida

Abstract

A tese aborda a implementação do normativo Europeu designado como Digital Operacional Resilience Act (DORA), alinhado com o normativo Europeu designado como Network and Information Systems Directive 2 (NIS2), integrados no modelo de gestão de segurança de informação numa seguradora do ramo vida, como forma de gerir os riscos de segurança de informação e riscos de tecnologias de informação de comunicação (TIC). O DORA, foi aprovado pela União Europeia em 2022 e entrou em vigor em janeiro de 2023, sendo obrigatória a sua aplicação em janeiro de 2025. Este regulamento foi concebido para aumentar a resiliência operacional digital das entidades financeiras, incluindo as seguradoras. Para o efeito, inclui cinco domínios principais: gestão de riscos de TIC; gestão de incidentes de TIC; testes de resiliência operacional digital; gestão de riscos de TIC de terceiros e partilha de informação sobre ciberameaças. A tese efetua uma análise de estado da arte como base para uma proposta de definição de uma framework que permita relacionar os riscos e controlos de segurança de informação aplicados às TIC face às categorias de ativos, suas vulnerabilidades e ameaças. Aborda-se assim os desafios e oportunidades na implementação do DORA, para que as seguradoras possam cumprir os requisitos do regulamento e como tal melhorar a sua resiliência digital, mas considerando uma visão holística de segurança de informação para gestão de risco. O estudo realizado demonstrou que a adoção do DORA não apenas reforça a conformidade e a resiliência digital, mas também promove um alinhamento estratégico entre a governação, a tecnologia e a gestão de riscos operacionais no setor segurador.

The thesis deals with the implementation of the European standard called the Digital Operational Resilience Act (DORA), aligned with the European standard called the Network and Information Systems Directive 2 (NIS2), integrated into the information security management model in a life insurance company, as a way of managing information security risks and information and communication technology (ICT) risks. DORA was approved by the European Union in 2022 and came into force in January 2023, with mandatory application in January 2025. This regulation is designed to increase the digital operational resilience of financial organisations, including insurance companies. To this end, it includes five main areas: ICT risk management; ICT incident management; digital operational resilience testing; third-party ICT risk management and cyber threat information sharing. The thesis analyses the state of the art as the basis for a proposal to define a framework to relate information security risks and controls applied to ICT to asset categories, their vulnerabilities and threats. It thus addresses the challenges and opportunities in implementing DORA, so that insurers can fulfil the requirements of the regulation and thus improve their digital resilience, while taking a holistic view of information security for risk management. The study demonstrated that the adoption of DORA not only enhances compliance and digital resilience but also promotes a strategic alignment between governance, technology, and operational risk management within the insurance sector.