Foi publicada a Norma Regulamentar n.º 6/2026-R, de 20 de outubro, que regula o reporte à ASF para supervisão da resiliência operacional digital
Neste Legal Flash apresentamos um destaque das novidades introduzidas pela Norma Regulamentar da ASF n.º 6/2026-R, de 20 de outubro, que define os deveres de reporte à ASF em matéria de resiliência operacional digital, ao abrigo do Regulamento (UE) 2022/2554 (o "Digital Operational Resilience Act" ou "Regulamento DORA") e da Lei n.º 73/2025, de 23 de dezembro. A Norma Regulamentar define a informação a reportar à ASF sobre os acordos com terceiros prestadores de serviços de TIC, os incidentes de carácter severo relacionados com as TIC e as ciberameaças significativas. Para o efeito, altera as Normas Regulamentares n.º 4/2023-R, n.º 5/2023-R e n.º 13/2020-R e revoga as Normas Regulamentares n.º 6/2022-R, n.º 7/2024-R e n.º 9/2024-R e a Circular n.º 3/2025. A Norma Regulamentar entra hoje em vigor. O dever de comunicar previamente os acordos planeados para serviços de TIC que apoiem funções críticas ou importantes só se aplica a partir de 27 de novembro de 2026.
Estas alterações procuram evitar sobreposições de regimes e de requisitos de reporte e simplificar o reporte de incidentes cibernéticos que já existia, que passa de mensal a trimestral e deixa de incluir as variáveis de impacto económico. Entre os novos deveres, destaca-se a comunicação anual à ASF, até 28 de fevereiro, do registo de informações sobre todos os acordos com terceiros prestadores de serviços de TIC. O primeiro envio deverá ocorrer até 28 de fevereiro de 2027. A Norma Regulamentar tem impacto nas empresas de seguros e de resseguros, incluindo as sucursais de países terceiros, nas sociedades gestoras de fundos de pensões e nos mediadores de seguros, de resseguros e de seguros a título acessório abrangidos pelo Regulamento DORA.