A UE Já Audita Diretamente O Seu Fornecedor Cloud

Dezanove Fornecedores Estão Agora Sob Supervisão Direta Da UE

Em 18 de novembro de 2025, os três reguladores financeiros da UE, a EBA, a ESMA e a EIOPA, designaram em conjunto 19 empresas tecnológicas como fornecedores críticos de TIC ao abrigo do regulamento relativo à resiliência operacional digital, colocando cada uma delas pela primeira vez sob supervisão direta da UE. A lista inclui os grandes fornecedores de nuvem AWS, Google Cloud, Microsoft e Oracle, além da SAP, dos operadores de telecomunicações Deutsche Telekom e Orange, e de fornecedores especializados de dados e fintech como a Bloomberg e a NTT.

A designação seguiu um processo de duas etapas previsto no próprio regulamento: primeiro os reguladores recolheram dados dos registos de informação que as instituições financeiras são obrigadas a manter sobre os seus contratos de TIC, e depois realizaram uma avaliação de criticidade que considerou a importância sistémica de cada fornecedor, a concentração do mercado e a facilidade com que uma instituição financeira poderia mudar de fornecedor. Cada fornecedor avaliado teve direito a ser ouvido e pôde apresentar uma declaração fundamentada antes da publicação final da lista.

O Que A Supervisão Regulatória Significa Realmente Para Estes Dezanove

Cada fornecedor designado responde agora perante um supervisor principal, um dos três reguladores da UE que atua em nome dos três, que pode inspecionar a gestão de risco e a governação do fornecedor e ordenar alterações na forma como este serve os seus clientes financeiros. Trata-se de um nível de escrutínio direto que os fornecedores de nuvem e telecomunicações nunca antes enfrentaram por parte dos reguladores financeiros da UE, e que se soma às regras nacionais de proteção de dados ou cibersegurança já em vigor.

O supervisor principal cobra ao fornecedor taxas proporcionais ao seu volume de negócios para cobrir o custo dessa supervisão, nos termos do artigo 43 do regulamento. Além disso, se um fornecedor não cumprir uma medida ordenada pelo supervisor principal, pode enfrentar uma sanção pecuniária compulsória de até 1 por cento do seu volume de negócios diário mundial médio por cada dia em que o incumprimento persista, com um limite de seis meses.

Porque Apenas Dezanove, E O Que Fica De Fora

Ser designado crítico é um teste estreito, não um juízo geral sobre a dimensão ou a importância de um fornecedor. Os reguladores perguntaram quantas instituições financeiras dependem de um determinado fornecedor, quão concentrada está essa dependência no mercado e se as instituições financeiras poderiam realmente mudar para uma alternativa, e apenas 19 empresas ultrapassaram esse limiar.

Qualquer outro fornecedor de nuvem, software ou dados utilizado por uma instituição financeira europeia continua completamente fora da supervisão direta da UE. Essas relações continuam sujeitas ao próprio programa de conformidade DORA da instituição financeira e à declaração anual no registo de informação, cujo segundo ciclo completo terminou em março de 2026, sendo assim que os reguladores irão identificar que fornecedores merecerão o estatuto crítico a seguir.

O Que Muda Hoje Num Contrato Com Um Fornecedor

Uma equipa de compras ou jurídica que negoceie com um dos 19 fornecedores designados tem agora um regulador a que recorrer, perante o qual o fornecedor já responde diretamente, o que muda o que uma cláusula razoável de notificação de incidentes ou de saída pode exigir. Uma instituição pode invocar as próprias conclusões de supervisão e os poderes sancionatórios do supervisor principal, em vez de depender apenas das promessas contratuais redigidas pelo próprio fornecedor.

O inverso é igualmente importante para uma conversa orçamental. Se o fornecedor de nuvem ou software de uma empresa não for um dos 19, esta supervisão direta não se aplica, e todo o encargo de conformidade dessa relação continua a recair sobre a própria entrada do comprador no registo de informação e a sua própria avaliação de risco, não sobre Bruxelas.

Porque fazemos isto

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem publicidade, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.

Se isto lhe deu alguma coisa hoje, diga-nos para continuarmos. Sigam-nos, deixem um gosto ou escrevam um comentário positivo. Lemos todos, e são eles que nos mantêm em andamento.

Leia a seguir: A UE acaba de adiar o seu prazo do AI Act em 16 meses  |  Três fornecedores de IA caíram juntos a 3 de setembro