Изисквания за обучение на управителните органи по DORA: практическо ръководство

Започнете от организацията и хората, а не от каталога с курсове

DORA се прилага от 17 януари 2025 г. Обхватът му във финансовия сектор се определя чрез категории субекти и изключения; това не е общ закон за обучение на всички европейски компании. Установете отправната точка чрез лиценза, конкретното юридическо лице и приложимите надзорни правила. Обзорът на EIOPA за DORA представя секторния контекст, а член 2 урежда обхвата.

Преди да възлагате обучение, подгответе кратък документ за приложимостта. Посочете регулираното лице, приложимата рамка, управителните му органи, хората на съответните длъжности и кой е потвърдил това съответствие. Групова програма може да предостави общо съдържание, но органът на дъщерното дружество трябва да разбира собствените си услуги, зависимости и решения. Отчетът за завършени курсове в чуждестранното дружество майка не показва дали местните членове познават местните планове за възстановяване.

Определете участниците според действителните управленски отговорности. „Управителен орган“ е правно понятие, определено чрез член 3, точка 30, а не просто всеки с „мениджър“ в длъжността. Поискайте от правния екип или функцията по корпоративно управление да потвърди приложението му към вашата структура. Включвайте новоназначените членове в регистъра за обучение веднага, без да чакате следващата обща кампания.

Отбележете ясно важното изключение: субектите по опростената рамка в член 16 не прилагат пряко членове 5–15. Техните изисквания за обучение и управление следват тази рамка и съответните технически стандарти. Опростен режим не означава липса на обучение.

Разграничете изискването от формата на обучение

Член 5, параграф 4 свързва редовното специализирано обучение със способността да се разбира и оценява рискът в областта на ИКТ и отражението му върху дейността. Член 13, параграф 6 отделно разглежда осведомеността и обучението по устойчивост на служителите и висшето ръководство. Нито една от тези разпоредби не определя универсален брой учебни часове годишно.

Това разграничение е важно при избора на програма. Доставчикът може да предложи последователна учебна програма, запис за участието и оценяване. Вашата организация обаче трябва да прецени дали съдържанието отговаря на отговорностите и рисковата експозиция на участниците. Сертификатът не може да потвърди план за възстановяване, който обучаемият не е виждал, или зависимост от доставчик, за която курсът няма информация.

Определете измерими резултати, преди да изберете формат. След обучението членът на управителния орган трябва да може да обясни коя прекъсната услуга би причинила най-сериозна вреда, къде доказателствата на ръководството са недостатъчни и кои решения остават на управителния орган при смущение. Ръководителят трябва да може да приложи собствените процедури за ескалация, без тепърва да търси непознати вътрешни документи.

Практическата програма има три слоя: обща основа, запознаване с конкретната организация и упражнение за вземане на решения. Онлайн курсът е подходящ за първия; отговорникът за услугата и риск функцията могат да осигурят втория; модерирана дискусия проверява третия. Това е предложен подход, а не задължителен начин на преподаване.

Изградете матрица според решенията, които хората вземат

Следващата матрица е отправен образец. Заменете примерите с реалните отговорности във вашата организация и съхранявайте чувствителните оперативни подробности в контролирана среда. Определете отговорник за всеки ред, който може да потвърди дали предвиденият учебен резултат е постигнат.

Полезната матрица съдържа повече от списък с модули. Добавете необходимия език, потребностите от достъпност, датата за преглед, версията на материала, оценяващия и коригиращото действие. Един участник може да познава терминологията, но да се затруднява с анализа на въздействието върху дейността. Друг може да има силна техническа подготовка, но ограничен опит с управлението във финансовия сектор.

Не възлагайте еднакво допълнително обучение на всички заради затруднението на един човек. Опишете пропуска точно: „Не може да посочи кой разрешава спешно съобщение до клиентите“ води до полезно действие; „Нуждае се от повече киберосведоменост“ не води. Нека участникът прегледа съответната вътрешна процедура и обясни решението със свои думи.

Изберете обоснована периодичност и ясни поводи за обновяване

Окончателният отговор на EIOPA DORA 250-3380 свързва честотата на обучението с ролите и пропорционалността и насочва към изводите от инциденти и информацията за киберзаплахи при актуализиране на програмите. Следователно календарът сам по себе си не е достатъчен. Документирайте както обичайния цикъл, така и събитията, които могат да наложат по-ранно обучение.

За управителен орган с недостатъчна начална подготовка разумно вътрешно предложение е въвеждане при назначаване, планиран годишен преглед на основите, целеви разяснения преди съществени решения и упражнение при значима промяна в дейността или заплахите. Това са предложени организационни решения. Годишният преглед не е фиксирана законова честота на обучението, а среда с чести промени или висок риск може да изисква значително повече.

• Нов оперативен модел, придобиване или критична услуга създава непознати зависимости.
• Съществен инцидент разкрива неясноти при ескалацията, вредите за клиентите или правомощията за възстановяване.
• Тест показва, че планиран временен начин на работа не покрива необходимия обем.
• Промяна на доставчик засяга концентрацията, достъпа до данни или възможността за замяна.
• Член на органа сменя комитет или поема нова отговорност.
• Съществена правна или надзорна промяна засяга решенията, които органът трябва да разбира.

Определете кой преглежда тези поводи. Регистър, който изпраща само напомняния за изтичащо обучение, ще пропусне най-полезните моменти за учене. Добавете кратко поле „Отражение върху обучението“ към значимите промени и действията след инцидент.

Осигурете време за дискусия. Петминутно разяснение, довело до ясно документирано решение, може да е по-полезно от още час пасивно гледане на слайдове. Това не прави пет минути достатъчни за цялата програма; показва защо трябва да оценявате приложимостта и разбирането наред с продължителността.

Съхранявайте доказателства за наученото и последвалите промени

Създайте проследима последователност, която колега може да разбере, без да разпитва администратора на програмата. Тя трябва да започва от установена учебна потребност, да преминава през подходящо съдържание и участие и да завършва с оценяване и последващо действие. Това е предложена структура за документиране, а не твърдение, че DORA предписва точно тези полета.

1. Запишете участниците, ролята им и причината за възлагане на обучението.
2. Запазете учебната програма, версията на материала, датата на провеждане и датата на преглед на източниците.
3. Документирайте присъствието или завършването така, че действителният участник да е разпознаваем.
4. Съхранете резултатите от оценяването и кратко описание на използваните въпроси.
5. Запишете пропуските, отговорника за отстраняването им и срока.
6. Свържете съществената дискусия със съответното управленско решение или регистър на действията.

Проверявайте преценката, не само паметта. „Кой член урежда управлението?“ проверява запомняне. „Доставчикът съобщава за възстановяване, но съгласуването на транзакциите не е завършено: какви доказателства искате преди нормално обслужване?“ проверява полезно управленско разграничение. Участниците не е необходимо да избират еднакво оперативно решение, но трябва да разпознават неизвестните и да обясняват основанията си.

Процентът завършили винаги трябва да има ясна база и дата. „Осем от десет включени членове завършиха текущия основен модул; двама новоназначени имат насрочено въвеждане“ е по-информативно от „80% съответствие“. Статусът на обучението и регулаторното съответствие са различни неща.

Съгласувайте сроковете за съхранение и достъпа с отговорниците за личните данни, документацията и корпоративното управление. Ограничете индивидуалните резултати до хората, които действително се нуждаят от тях. За управителния орган може да са достатъчни общото състояние и неотстранените пропуски. Пазете историческата версия на курса, за да е ясно какво е било преподавано.

Практически пример: едно прекъсване разкрива реалните учебни потребности

Разгледайте този измислен учебен сценарий. Порталът за клиентски транзакции на финансова компания става недостъпен в 09:15 ч. Доставчикът твърди, че инфраструктурата работи, но още не може да потвърди целостта на чакащите транзакции. Обслужването на клиенти получава оплаквания за двойни плащания. Следващата актуализация до ръководството трябва да бъде представена след двадесет минути.

Първо решение: опишете проблема през дейността

Нека участниците посочат засегнатата услуга, изложените клиенти и последиците от изчакването. Добър отговор разграничава достъпността на услугата от надеждността на транзакциите. Той посочва и неизвестните. Ако разговорът веднага се превърне в спор за техническите термини на доставчика, програмата трябва да подобри превеждането на техническите факти в последици за бизнеса.

Второ решение: определете правомощията и ескалацията

Попитайте кой може да ограничи обработката на транзакции, кой координира инцидента, кой прилага процедурата за докладване и кога управителният орган получава информация. Участниците трябва да използват собствените си утвърдени роли и процедури. Не измисляйте срок за регулаторно докладване и не поставяйте изпълнението на съществуващо задължение от упълномощен екип в зависимост от заседание на целия управителен орган.

Трето решение: уточнете доказателствата за възстановяване

Доставчикът обявява, че платформата отново е достъпна. Членът на управителния орган трябва да попита какви съгласувания, бизнес проверки и мерки за защита на клиентите подкрепят възобновяването. Упражнението трябва да позволи на ръководството да представи варианти и последици, включително контролирано частично обслужване. „Всичко на таблото е зелено“ е наблюдение, а не достатъчна обосновка за възстановяване.

Завършете с кратък разбор. Възможно е органът да разбира ескалацията, но да не различава целевото време за възстановяване от последния доказан резултат. Възложете конкретно учебно действие, поискайте от отговорника за услугата да подобри отчета и разгледайте решението отново на следващо заседание. Така свързвате обучението, доказателствата и надзора, без да представяте дискусионното упражнение като доказателство за техническа възстановимост.

Оценявайте курса по DORA според нуждите на вашия управителен орган

В заданието за избор на обучение посочете какво трябва да умеят участниците след него. Поискайте учебна програма, примерен управленски сценарий, правните източници и датата на прегледа им, начина на оценяване и съдържанието на записите за завършване. Попитайте как доставчикът актуализира материала при промяна на правната или надзорната позиция.

Търсете ясни граници. Въвеждащият курс трябва да посочва кои въпроси изискват дискусия за конкретната организация. Ако доставчик твърди, че един модул прави компанията съответстваща на DORA, попитайте как е оценил оперативния модел, контролите, договорите и доказателствата ви. Самото провеждане на обучение не може да обоснове такова твърдение.

Предпочитайте ясни обяснения за наличността, целостта на данните, зависимостите между услугите, възстановяването и отговорността за риска пред обемен речник. Не е необходимо управителният орган да конфигурира защитна стена, за да оспори недоказано допускане за възстановяване. Необходимо е да може уверено да пита какво е проверено и какво остава неизвестно.

Обучение по киберсигурност за ръководители и управителни органи на BlueTeam Academy предлага въвеждаща основа: приблизително 25 минути в шест урока. Използвайте го за общ език, след което добавете представяне на собствените услуги, дискусия според ролите и постоянен план за обучение. Завършването е запис за учебна дейност, а не акредитация или заключение, че организацията изпълнява DORA.

Практически 90-дневен план за действащ управителен орган

Това е последователност за подобряване на програма, а не регулаторен гратисен период. Отстранявайте незабавно спешните пропуски в знанията, когато те засягат решения, които вече предстоят.

Определете един координатор на програмата, като запазите експертната отговорност в съответните функции. Координаторът проследява завършването и пази записите; риск функцията проверява приложимостта; отговорниците за услуги представят оперативната реалност; председателят осигурява време за смислена дискусия. Уточнете как се обработват отсъствията, новите назначения и неотстранените пропуски от оценяването.

При заключителния преглед проверете цялото учебно досие на един участник и едно действие от упражнението. Можете ли да покажете едновременно, че човекът е научил нещо приложимо и че организацията е действала по установения проблем? Ако някоя връзка липсва, подобрете нея, преди да добавяте още съдържание.

Включете тези въпроси в следващото заседание

• Идентифицирали ли сме всички хора, чиито роли изискват това обучение?
• Може ли всеки член да обясни най-съществената ни зависимост в областта на ИКТ?
• Включва ли програмата собствените ни услуги и доказателства за възстановяване?
• Кой скорошен инцидент, тест или промяна трябва да повлияе на учебния план?
• Кои неотстранени учебни пропуски могат да засегнат решение през това тримесечие?
• Можем ли да свържем обучение с по-добра критична оценка или завършено действие?

Използвайте отговорите за конкретен дневен ред. Орган със солидна основна подготовка може да има нужда от подробна дискусия за един доставчик. Новоназначен орган може да се нуждае от основите, преди да разчита отчета за риска. И двата трябва да могат да обяснят защо програмата съответства на отговорностите им.

Продължете с ръководството за отговорностите на управителния орган по DORA и практическото табло за управленско отчитане по DORA. Те свързват наученото с решенията и с информацията, която ръководителите трябва да изискват.