Pentest para NIS2 e DORA: o que a Europa exige (e o que muda para quem vende para lá)

Resumo: a NIS2 (Diretiva (UE) 2022/2555) exige que entidades essenciais e importantes avaliem a eficácia das suas medidas de cibersegurança — na prática, testes de segurança regulares, incluindo pentest. O DORA (Regulamento (UE) 2022/2554), em vigor desde 17 de janeiro de 2025 para o setor financeiro, é mais explícito: programa de testes anual (art. 24–25) e, para entidades selecionadas pelo regulador, TLPT — teste de intrusão orientado por ameaças — pelo menos a cada três anos (art. 26–27). Empresas brasileiras que vendem para clientes europeus regulados sentem esses requisitos via contrato.

Se você é uma empresa brasileira, pode parecer assunto de outro continente. Não é: bancos, seguradoras, fintechs e operadores de infraestrutura na Europa precisam comprovar a segurança dos seus fornecedores de TIC — e repassam a exigência em cláusulas contratuais, questionários de segurança e pedidos de relatório de pentest. Este guia explica o que cada regulamento pede e como montar um programa de testes que satisfaça auditoria sem virar teatro.

NIS2 em uma página

Quem está sujeito: entidades "essenciais" e "importantes" em setores como energia, transporte, saúde, banca, infraestrutura digital, provedores de nuvem e de serviços gerenciados, fabricação de produtos críticos, entre outros — em geral, médias e grandes empresas desses setores.

O que pede sobre testes: o artigo 21 lista medidas mínimas de gestão de risco, incluindo segurança na aquisição, desenvolvimento e manutenção de sistemas (com tratamento de vulnerabilidades) e políticas e procedimentos para avaliar a eficácia das medidas adotadas. A diretiva não prescreve "um pentest por ano", mas testes de segurança periódicos e após mudanças relevantes são a forma mais direta de demonstrar essa eficácia.

Por que importa: as sanções chegam a €10 milhões ou 2% do faturamento anual mundial para entidades essenciais (€7 milhões ou 1,4% para importantes), e a diretiva atribui responsabilidade à alta administração. A NIS2 também exige atenção à segurança da cadeia de suprimentos — que é onde fornecedores brasileiros entram.

DORA em uma página

Quem está sujeito: praticamente todo o setor financeiro da UE — bancos, instituições de pagamento e de moeda eletrônica, seguradoras, gestoras, prestadores de serviços de criptoativos — e, indiretamente, seus fornecedores críticos de TIC.

O que pede sobre testes:

• Art. 24 — programa de testes de resiliência operacional digital, proporcional ao porte e ao risco, com testes pelo menos anuais dos sistemas que suportam funções críticas ou importantes.
• Art. 25 — tipos de teste previstos: avaliações de vulnerabilidades, análise de código-fonte quando viável, testes baseados em cenários, testes de compatibilidade e de desempenho, testes de intrusão, entre outros.
• Art. 26 — TLPT: entidades identificadas pelas autoridades devem realizar testes de intrusão orientados por ameaças pelo menos a cada três anos, em sistemas de produção, cobrindo funções críticas — inclusive as terceirizadas.
• Art. 27 — requisitos dos testadores: reputação, competência técnica comprovada, certificação ou código de conduta, seguro de responsabilidade profissional. Para TLPT, uso de testadores externos é a regra.

O que é TLPT (e o que não é)

TLPT (Threat-Led Penetration Testing) é um exercício de red team guiado por inteligência de ameaças, alinhado ao framework TIBER-EU. Uma equipe de threat intelligence descreve adversários realistas para aquela instituição; o red team executa esses cenários contra a produção, de forma controlada; o blue team, idealmente, não sabe que o teste está acontecendo; ao final há uma fase de purple teaming para aprendizado conjunto e um relatório de remediação acompanhado pela autoridade.

TLPT não é um pentest de aplicação ampliado. Ele mede a capacidade de prevenção, detecção e resposta da organização como um todo. O pentest de aplicação, de API e de sistemas de IA continua sendo a base do programa anual do artigo 24–25 — e é o que encontra as falhas que o red team vai explorar.

Como montar um programa de testes que resiste à auditoria

1. Inventário de funções críticas. Ligue cada sistema a uma função de negócio. O escopo dos testes nasce daqui, não da lista de IPs.
2. Calendário por risco. Pentest anual para tudo que suporta função crítica; ciclos adicionais após mudanças significativas (nova integração, novo canal digital, lançamento de recurso com IA).
3. Profundidade adequada. Gray box com contas por perfil e documentação para aplicações e APIs; testes específicos para sistemas de IA expostos a clientes.
4. Rastreabilidade. Cada achado com dono, prazo, evidência de correção e reteste. Auditor não quer ver o relatório; quer ver o ciclo fechado.
5. Cadeia de fornecedores. Exija relatórios recentes dos fornecedores de TIC que suportam funções críticas — e esteja pronto para fornecer o seu.
6. Qualificação documentada dos testadores. Guarde evidências de experiência, certificações e seguro do fornecedor de pentest: o DORA pede isso explicitamente.

Para empresas brasileiras que vendem à Europa

Se você é fornecedor de software ou de serviços para um banco, seguradora ou operador europeu, espere: cláusulas de direito de auditoria, pedido de relatório de pentest dos últimos 12 meses, questionários alinhados ao DORA e prazos de notificação de incidentes. Ter um relatório recente, em inglês, com escopo claro e reteste concluído encurta o ciclo de vendas e evita que a área de risco do cliente trave o contrato. No Brasil, as resoluções do BACEN seguem lógica parecida — veja pentest para PCI DSS 4.0 e BACEN.

Perguntas frequentes

A NIS2 exige pentest?

A diretiva não usa a palavra "obrigatório" para pentest, mas exige avaliar a eficácia das medidas de segurança e gerir vulnerabilidades. Testes de intrusão periódicos são a evidência mais aceita por autoridades e auditores, e as transposições nacionais tendem a detalhar esse requisito.

Com que frequência o DORA exige testes?

Testes dos sistemas que suportam funções críticas ou importantes pelo menos uma vez por ano (art. 24) e, para as entidades selecionadas, TLPT pelo menos a cada três anos (art. 26).

Pentest automatizado atende ao DORA?

Ferramentas automatizadas ajudam no programa anual, mas o DORA lista o teste de intrusão como tipo próprio e exige testadores qualificados. Para TLPT, é indispensável uma equipe humana de red team.

Minha empresa é brasileira. Isso me afeta?

Se você presta serviços de TIC a entidades financeiras ou essenciais na UE, sim — por contrato. O cliente precisa demonstrar ao regulador que gere o risco dos fornecedores, e vai pedir evidências a você.