A evidência de qualidade de software não é a mesma coisa que um programa de testes, e a diferença é aquilo que a primeira revisão de supervisão a sério tende a expor. A maioria das instituições financeiras reguladas tem engenheiros de QA, suites de testes, pipelines de CI/CD e dashboards a verde. Bem menos têm evidência.
Escolher um parceiro nearshore Portugal era, até há pouco, uma conversa sobre preços, fusos horários e domínio do inglês. Em 2026 aparece nos RFPs de sectores regulados um quinto critério com frequência crescente: se o parceiro de desenvolvimento opera sob o mesmo enquadramento regulatório que o cliente.
Tornar-se relying party do EUDI Wallet é a parte do eIDAS 2.0 que cai sobre as equipas de engenharia, e é também a que tem recebido menos atenção. Até 24 de dezembro de 2026, cada Estado-Membro tem de disponibilizar uma Carteira Europeia de Identidade Digital conforme aos seus cidadãos e residentes. O prazo é vinculativo ao abrigo do Regulamento (UE) 2024/1183, os atos de execução estão publicados e já houve testes de interoperabilidade transfronteiriça entre Estados-Membros.
A data de entrada em vigor do Regulamento de IA da UE foi 2 de agosto de 2026. A maior parte da cobertura desta semana concentrou-se no que foi adiado: o adiamento, para dezembro de 2027, das obrigações relativas a sistemas de alto risco usados em decisões de emprego, avaliação de crédito e acesso a serviços públicos.
A comunicação de vulnerabilidades CRA torna-se obrigatória a partir de 11 de setembro de 2026. A partir dessa data, todos os fabricantes de software que vendem na UE terão de comunicar uma vulnerabilidade explorada ativamente no prazo de 24 horas após terem conhecimento dela. Não são 24 horas úteis. São vinte e quatro horas.
Quando uma equipa de controlo de qualidade (QA) num banco avalia ferramentas de teste de IA, a conversa tende a começar com o mesmo conjunto de questões que qualquer equipa de engenharia faria: quantos casos de teste gera, quão precisa é a geração, quão bem lida com a manutenção de testes, que frameworks suporta. Estas são questões legítimas. São também o ponto de partida errado, porque tratam o problema do QA assistido por IA numa instituição financeira regulamentada como se fosse o mesmo problema do QA assistido por IA numa startup SaaS. Não é.
Todos os Estados-Membros da UE devem disponibilizar um Cartão de Identidade Digital Europeu em conformidade até 24 de dezembro de 2026, e as empresas reguladas devem aceitá-lo doze meses depois. Este guia aborda o que as organizações precisam de decidir, desenvolver e registar antes destas datas, sendo redigido na perspetiva de uma equipa que mantém middleware nacional de eID desde 2011.
O DORA exige que as instituições financeiras demonstrem resiliência operacional aos organismos de supervisão, e não apenas que realizem testes. Este artigo aborda o que as equipas de QA (Garantia da Qualidade) dos bancos precisam efetivamente de produzir como evidência, que artigos do DORA regem esta exigência e em que aspetos a maioria dos programas de testes deixa a desejar quando ocorre uma revisão de supervisão.
Dois dias. Dezenas de conversas. Um tema constante: a distância entre a ambição política e a realidade operacional continua a ser significativa e as organizações que preenchem essa lacuna são as que merecem atenção.
Em 2026, o Cyber Resilience Act (CRA) já não é um prazo futuro — é a realidade operacional para todas as organizações no mercado europeu. Com requisitos de segurança obrigatórios para produtos com elementos digitais, a conformidade passou de uma "opção" para uma licença fundamental para operar. Neste cenário, a segurança reativa é obsoleta; a filosofia "Secure by Design" e a transparência do Open Source emergiram como as defesas mais fortes contra as ameaças modernas.