TIBER-EU e DORA: O Que as Instituições Financeiras Precisam de Perceber Antes de a Notificação Chegar
A DORA está em vigor desde janeiro de 2025. As normas técnicas regulatórias de TLPT ficaram ativas em julho de 2025. O BCE publicou o seu guia de implementação TIBER-EU para instituições significativas em novembro de 2025.
Os reguladores já estão a enviar cartas de notificação às entidades abrangidas.
Se é o CISO de uma entidade financeira regulada na UE e não tem um plano de TLPT, este artigo é para si.
O Que é Realmente o TIBER-EU
TIBER-EU significa Threat Intelligence-Based Ethical Red Teaming. É o framework europeu, desenvolvido pelo BCE, que define como se conduz um teste sério de resiliência ciber: com threat intelligence real, uma red team externa e ataques simulados contra sistemas de produção reais.
Não é um pentest. Não é uma auditoria de compliance. É uma simulação controlada de um ataque real, conduzida por adversários profissionais, baseada no que agentes de ameaça reais fariam contra a sua organização hoje.
A diferença prática: um pentest padrão pergunta "existem vulnerabilidades?". Uma TLPT TIBER-EU pergunta "conseguiria um adversário determinado comprometer as suas funções de negócio críticas?". São perguntas fundamentalmente diferentes, e produzem respostas fundamentalmente diferentes.
O Que a DORA Exige
Os Artigos 26.º e 27.º da DORA criam uma obrigação clara: as entidades financeiras significativas têm de realizar TLPT pelo menos a cada três anos.
Quem está abrangido? A DORA usa uma abordagem de dois níveis:
- Obrigatório automaticamente: instituições globalmente sistemicamente importantes (G-SII)
- Potencialmente obrigatório: outras entidades designadas pela autoridade competente com base na criticidade, dimensão e perfil de risco
Em Portugal, o Banco de Portugal é a autoridade competente. O BCE supervisiona diretamente as instituições significativas ao abrigo do Mecanismo Único de Supervisão.
O teste tem de cobrir sistemas de produção reais e envolver uma red team externa qualificada. Testes internos ou ambientes de staging não satisfazem o requisito.
TIBER-EU vs. um Projeto de Red Team Padrão
O equívoco mais comum: CISOs que já conduziram exercícios internos de red team e assumem que isso cobre a obrigação de TLPT. Não cobre.
Uma TLPT TIBER-EU tem fases obrigatórias e participantes exigidos:
1. Preparação
O âmbito é definido com a autoridade reguladora. A Control Team interna é estabelecida. Um Threat Intelligence Provider (TIP) certificado é contratado separadamente e de forma independente da red team.
2. Threat Intelligence
O TIP produz um relatório de threat intelligence específico da organização: quem são os adversários mais prováveis, que TTPs usariam e que vetores são mais relevantes para o seu setor e geografia.
3. Testes de Red Team
Com base no relatório de TI, a red team executa o ataque. A red team não escolhe os cenários. Os cenários emergem de intelligence real. Os testes correm tipicamente doze semanas ou mais.
4. Fecho
É produzido um relatório conjunto, conduzida uma sessão de remediação, e os resultados podem ser partilhados com o regulador para benchmarking setorial.
A separação entre TIP e red team é intencional e obrigatória. Garante que os cenários de ataque estão ancorados em ameaças reais, não nas preferências ou no tooling existente da red team.
| Fase | O Que Acontece | Quem Participa |
|---|---|---|
| Preparação | Âmbito definido com o regulador, Control Team estabelecida, TIP contratado | Entidade, regulador, TIP |
| Threat Intelligence | Relatório de TI específico da organização: agentes de ameaça, TTPs, vetores de ataque | TIP (independente) |
| Testes de Red Team | Execução do ataque com base no relatório de TI, tipicamente 12+ semanas | Red team externa (independente do TIP) |
| Fecho | Relatório conjunto, sessão de remediação, eventual partilha com o regulador | Todas as partes |
Porque Isto Não Pode Esperar
Três razões para agir agora em vez de quando a notificação chegar:
1. As notificações já estão a ser enviadas. As normas técnicas regulatórias entraram em vigor em julho de 2025. As entidades abrangidas estão a receber cartas agora. Chegar ao processo sem preparação significa começar do zero sob pressão regulatória, e o processo tem prazos longos por desenho.
2. A preparação demora meses antes de os testes começarem. Qualificar vendors, estabelecer a Control Team internamente e coordenar com o supervisor não é um exercício de duas semanas. Organizações que começam quando recebem a notificação encontram-se rotineiramente sem opções viáveis dentro do prazo exigido.
3. A intelligence vale mais do que o certificado. Uma TLPT bem executada diz-lhe algo que uma checklist de compliance não consegue: se os seus controlos resistem a um adversário real com tempo, motivação e um alvo específico. A intelligence operacional produzida, caminhos de ataque, lacunas de deteção, falhas de resposta, tem um valor que sobrevive ao ciclo regulatório. Uma TLPT feita por cumprimento produz um certificado. Uma TLPT séria muda a forma como dirige o seu programa de segurança.
O Que Fazer Agora
Se não sabe se a sua entidade está abrangida: a determinação é responsabilidade da autoridade competente, não sua. Contacte diretamente o Banco de Portugal.
Se já está abrangido:
- Identifique quem integra a sua Control Team, tipicamente CISO, CRO e representantes de negócio das funções críticas a testar
- Mapeie as funções de negócio críticas que um adversário priorizaria. Isto molda o brief de threat intelligence
- Comece a qualificação de vendors para o TIP e para a red team. Têm de ser externos, independentes entre si e qualificados ao abrigo do framework
- Abra um canal de comunicação com o seu supervisor antes de o processo formal começar. Alinhar expectativas cedo evita atrito depois
Uma Nota Final
O TIBER-EU não é burocracia regulatória disfarçada de segurança. É o mais próximo de um ataque real que uma organização financeira pode experienciar num contexto controlado e legal.
O valor depende inteiramente de quem o conduz. Uma TLPT tratada como exercício de compliance vai consumir budget e produzir um relatório que satisfaça uma checkbox. Uma TLPT conduzida com intenção genuinamente adversarial vai revelar coisas que o seu programa atual não encontrou, e dar-lhe a evidência para as corrigir antes de um incidente real o fazer.
A diferença está no vendor que escolhe e nas perguntas que faz antes de assinar.
A OFFCEPT é uma firma de segurança ofensiva especializada em operações de red team e simulação adversarial. Se está a avaliar providers para TLPT ou quer perceber o processo antes de o iniciar, fale connosco.
Este artigo é meramente informativo e não constitui aconselhamento jurídico. Para orientação específica sobre as obrigações legais da sua organização, consulte um profissional jurídico qualificado.