Краткият отговор
Член 5, параграф 4 от DORA изисква членовете на управителния орган да поддържат актуални знания и умения за ИКТ риска чрез редовно специализирано обучение, съобразено с управлявания риск. Той не определя единен годишен интервал за всички. Изберете и документирайте цикъл на обучение, вземете предвид приложимите надзорни очаквания и реагирайте на съществени промени, преди да настъпи следващото планирано опреснително обучение.
1. Какво всъщност изискват разпоредбите за обучение
DORA се прилага от 17 януари 2025 г. Първо установете дали финансовият субект попада в обхвата на регламента и коя рамка се прилага за него. В общата рамка член 5, параграф 4 се отнася до способността на управителния орган да разбира и оценява ИКТ риска и въздействието му върху дейността. Целта е актуални знания и информирана преценка, а не преминаване през една и съща презентация на всеки дванадесет месеца. Формулировката на разпоредбата не определя единен календарен интервал за всички.
Член 13(6) урежда задължителното обучение за повишаване на осведомеността относно сигурността на ИКТ и за цифрова оперативна устойчивост за служителите и висшето ръководство. Сложността му трябва да съответства на обхвата на техните функции, като съответните доставчици на ИКТ услуги се включват, когато е подходящо. За субектите, които отговарят на условията и използват опростената рамка по член 16, се прилагат различни разпоредби, включително обучение на персонала и ръководството според нуждите съгласно член 16(1)(h). Не приемайте, че разпоредбата за управителния орган е приложимото правно основание за всеки обучаем или субект.
Тези разграничения са важни при съставянето на календар за обучение. Член на управителния орган, координатор на инциденти и колега от обслужването на клиенти може да имат нужда от обучение след едно и също прекъсване, но трябва да вземат различни решения и се нуждаят от различна степен на подробност. Общ инструктаж може да отговори на няколко потребности; това само по себе си не налага закупуването на отделни обучения. Прочетете ръководството за изискванията към обучението на управителния орган преди да превърнете законово задължение в спецификация за възлагане на поръчка.
2. Ежегодното опреснително обучение е избор при планирането на програмата
Ежегодното опреснително обучение може да осигури предвидима основа за планирането, последващите действия след въвеждащото обучение и бюджета. То може също да бъде подходящ момент, в който управителният орган да прегледа приоритетите си за обучение. Ако обаче представите тази периодичност като единствената, разрешена от DORA, смесвате начина, по който доставчикът е организирал продукта си, с текста на регламента. Обяснете избора, основанията за него и събитията, които могат да наложат по-ранно обучение.
Други надзорни очаквания също могат да бъдат взети предвид при решението. Например публикуваните от ЕЦБ очаквания за добри практики относно експертните познания на управителните органи на банките в областта на ИКТ и сигурността разглеждат ежегодно обучение. Това е важен контекст за засегнатите банки, но не е основание да се твърди, че същото правило се прилага по идентичен начин за всеки финансов субект. Екипът по съответствие следва да установи приложимите надзорни документи и национални изисквания наред с рамката на DORA.
В BlueTeam Academy ежегодното опреснително обучение е препоръка за планиране. Администраторите могат да зададат различен интервал за преглед според ролите в компанията и нейния рисков профил. Тази настройка определя кога се очаква вътрешен преглед; тя не установява, че даденият период удовлетворява всички задължения. Управителният орган трябва да може да обясни защо избраният цикъл е подходящ, каква информация е взел предвид и кой ще преразгледа решението, ако излагането на риск се промени. Календар без такава обосновка е слаб заместител на плана за обучение.
3. Определете събитията, които налагат по-ранно обучение
Редовната програма трябва да предвижда как да се реагира на промени между планираните занятия. Примери са пускане на важна услуга, промяна в облачна услуга или система за управление на идентичността, от която организацията зависи, придобиване на друг бизнес, съществен инцидент, повтаряща се одитна констатация или поемане на нова роля от член на управителния орган. Въпросът е дали събитието променя знанията или решенията, очаквани от съответните хора. Не всяка техническа промяна изисква курс за управителния орган, но значимите промени изискват обоснована оценка.
Разгледайте платежна организация, която премества средата си за възстановяване на същата облачна платформа като основната си услуга. Управителният орган е завършил модул по непрекъсваемост преди два месеца. Ако обсъждането на новата концентрация се отложи с още десет месеца, членовете му може да продължат да разчитат на вече невалидно допускане за възстановяването. Целенасочен инструктаж и упражнение за вземане на решение могат да отстранят този пропуск, без да се повтаря цялата програма.
За всяка промяна, която налага обучение, запишете: какво се променя, засегнатата услуга и роли, нуждата от обучение, предложената дейност, отговорника и доказателствата за завършване. Свържете този запис с обичайния процес за управление на риска или промените, вместо да разчитате някой да си спомни за учебния календар. След инцидент използвайте изводите за решенията и ескалацията, наред с техническата причина. Новата процедура има стойност само ако хората, които ще я прилагат, разбират какво трябва да правят по различен начин.
4. Планирайте според ролите и финансовите услуги
Полезният план започва с хората и услугите, за които субектът отговаря. Определете членовете на управителния орган и надзорните им задължения. Опишете отговорностите на висшето ръководство и оперативните роли, които се нуждаят от конкретна осведоменост или умения за устойчивост. След това свържете тези отговорности с услугите, важните данни, зависимостите от ИКТ и предвидимите прекъсвания. Така се получава по-обоснован план, отколкото ако възложите едно и също съдържание на всеки профил в директорията.
За управителния орган резултатът може да е способността да оценява критично рисковия апетит, инвестициите, доказателствата за възстановяване и съществената рискова експозиция към доставчици. За координатора при инциденти това може да е надеждно класифициране, ескалация и координация съгласно одобрените процедури на субекта. За колега, който обработва клиентски нареждания, това може да е своевременно разпознаване и докладване на съмнение за проблем с целостта на данните. Тези резултати са свързани, но само тест за добри практики при паролите не доказва способност за преценка на равнището на управителния орган по въпросите на възстановяването или ресурсите.
Съобразете задълбочеността на обучението с нуждите. Ръководител, който отговаря за услуга със сложни зависимости от компоненти или услуги, на които разчитат няколко системи, може да се нуждае от по-подробна работа по сценарии, отколкото предлага въвеждащият преглед. Документирайте къде свършва общата основна програма и къде започва инструктажът или практическият семинар, съобразен с конкретното дружество. Ако правната рамка все още не е потвърдена, запишете това като неизпълнена задача с определен отговорник. Не представяйте настройката по подразбиране на учебната система като правно заключение за обхвата на приложимост.
5. Практически цикъл от въвеждащо до опреснително обучение
Един работещ модел започва с въвеждащо обучение, последвано от обща основна програма за ръководители, обсъждане на реалните услуги на субекта и планиран преглед на промените. Общата основна програма дава необходимите понятия и методи за вземане на решения. Обсъждането в компанията проверява дали тези методи са приложими към действителния модел за възстановяване, веригата от доставчици и механизмите за управление. След това периодичният преглед установява какво се е променило и кои предишни допускания се нуждаят от нови доказателства.
Например новоназначен член на управителния орган би могъл да завърши програма за членове на управителни органи, да присъства на представяне на услугите и да запише въпросите, на които иска ръководството да отговори. Секретарят на управителния орган или отговорникът за обучението би могъл да следи напредъка спрямо договорените дати. При следващия планиран преглед членът би могъл да разгледа промените в отговорностите и нерешените въпроси, свързани с риска, а след това да премине опреснително обучение или целенасочено упражнение. Конкретните срокове следва да се определят според нуждите на субекта и приложимите очаквания, а не тази примерна последователност да се приема за задължителен график.
Свързвайте дейностите помежду им. Ако по време на работна среща се установи непроверена зависимост при възстановяването, това трябва да доведе до конкретно действие и последващо искане за доказателства. Следващото опреснително обучение трябва отново да разгледа дали това действие е променило възможностите на услугата. Така обучението се превръща в постоянен процес на надзор. Това помага и на корпоративния купувач да оценява курса според решенията, които той подпомага, а не само според броя на видеоклиповете, оформлението на сертификата или употребата на думата „съответствие“ от доставчика.
6. Записвайте наученото и оставащите пропуски
За всеки обучаем съхранявайте данните за самоличност, организацията, професионалната роля, възложените модули, версията на курса и датите на завършване. Записвайте резултатите от оценяването и идентификатора на всеки сертификат за завършване. Съхранявайте историята на опреснителните обучения и записите за фирмени семинари така, че да се разграничават от основния курс. Промяна в заглавието на курса не бива неусетно да променя смисъла на по-ранен запис за завършване.
Фирменият отчет трябва да показва както пропуските, така и успехите: хора, които не са започнали, незавършени модули, неуспешни или все още непроведени оценявания, просрочени възложени обучения и последващи дейности. Процентът на завършване може да прикрива факта, че членовете на управителния орган, отговорни за критична услуга, не са завършили съответното обучение. Използвайте отчета, за да решите кой се нуждае от подкрепа или от различна дейност; не го приемайте като оценка за спазване на нормативните изисквания.
Доказателствата имат ограничения. Времето, прекарано на дадена страница, не доказва разбиране. Оценяването с избор на отговор проверява определени решения; то не установява компетентност за всеки реален инцидент. Писмените обосновки и обсъждането с водещ могат да разкрият допускания, но в записа трябва да се посочва дали тези отговори действително са прегледани. Ако администратор на компанията регистрира присъствие на семинар, обозначете го като потвърждение от администратор. Вижте нашето ръководство за сертификатите за обучение по DORA за практическото разграничение между доказателствата за завършено обучение и неподкрепените твърдения за сертификация.
7. Пример: управителен орган реагира на промяна в зависимост от облачна услуга
Измислено застрахователно дружество планира редовно опреснително обучение за ръководството през ноември. През март смяна на доставчик прави две услуги за клиенти зависими от една и съща платформа за управление на идентичността. През април учение по възстановяване успешно възстановява данните, но не проверява загубата на достъп до тази платформа. Отговорникът за обучението установява, че членовете на управителния орган може да приемат двата договора за услуги като доказателство за независимо възстановяване. Пропускът в знанията е погрешното допускане за общите зависимости — компоненти или услуги, на които разчитат няколко системи.
Преди да одобри решението за подновяване, организацията организира кратко представяне на услугата и упражнение за управителния орган. Участниците описват общата зависимост — компонент или услуга, от които зависят няколко системи — подлагат на критичен преглед прогнозата за възстановяване и определят необходимите доказателства. В записа се отразяват датата, ролите, сценарият, решенията и неприключените действия. Техническият екип отговаря за представителен тест за възстановяване; бизнес отговорникът отговаря за решението относно остатъчния риск. Обучението не заменя нито една от тези отговорности.
През ноември опреснителното обучение се връща към резултата от този тест и по-ранните въпроси на управителния орган. Ако рисковата експозиция остава неовладяна, докладът го посочва. Завършването на опреснителното обучение не превръща неработеща контрола в работеща. Този пример показва защо редовният график и обучението, предизвикано от конкретни събития, трябва да се съчетават: графикът осигурява приемственост, а промените, които налагат обучение, поддържат знанията актуални за решенията, които не могат да чакат.
8. Добавете плана в работното пространство на компанията
Използвайте курса DORA обучение по киберсигурност за мениджъри като обща програма за ръководители, а след това добавете контекста на вашата компания. Основната програма на Академията включва осем модула с писмени упражнения за вземане на решения и оценяване въз основа на сценарий. Около три часа е ориентировъчното време за обучение с насоки, включително упражненията; това не е законов минимум, нито гаранция, че времето е достатъчно за всяка роля.
Отделното опреснително обучение за управителния орган подпомага прегледа на променените отговорности, допусканията за възстановяване и поуките от работата с доставчици или от одити. Администраторите могат да го възлагат на съответните хора и да проследяват завършването му отделно от първоначалната програма. След провеждането на фирмена работна среща в записите за нея могат да се посочат водещият, участниците, целите и решенията. Наред с документирането на извлечените поуки продължавайте да проследявате неизпълнените оперативни действия и в обичайния си процес на управление.
Преди да приемете плана, поискайте от отговорниците за обучението, риска и съответствието да съгласуват обхвата му. Решете кой поддържа календара, кой получава отчетите за просрочени обучения, какво налага целева актуализация и как при следващия преглед ще се оцени дали разбирането се е подобрило. Това разпределение на отговорностите е по-ценно от простото избиране на повтаряща се дата.
Въпроси на ръководителите
Означава ли „редовно“ веднъж годишно?
Разпоредбите на DORA за обучение не определят единен годишен интервал за всички. Ежегодното опреснително обучение е полезен избор при планирането на програмата за много организации, а приложимите надзорни очаквания могат да дадат допълнителен контекст. Документирайте основанията за графика си, вземете предвид ролите на хората и ИКТ риска и определете как съществените промени ще водят до по-ранно обучение. Не представяйте стандартната дата за подновяване на доставчика като изрична разпоредба на регламента.
Трябва ли целият курс да се повтаря след всяка промяна?
В тези разпоредби няма общо правило, което да изисква повторно преминаване на същия курс след всяка промяна. Преценете дали промяната засяга знанията, уменията или решенията, свързани с ролята. Целеви инструктаж, упражнение по сценарий или актуализиран модул може да запълни пропуска по-пряко. Запазете записа за предишния курс и документирайте новата дейност отделно, включително целта ѝ и всички последващи действия.
Доказва ли завършеното опреснително обучение, че компанията спазва DORA?
Не. Това е доказателство за учебна дейност и, когато е извършено оценяване, за записания резултат от него. Съответствието на организацията включва приложимите изисквания за управление, механизми за контрол и по-широк кръг задължения. Надлежно документираният запис за обучение посочва какво е преподавано и оценявано, коя версия е използвана и какво остава нерешено. Той следва да подпомага информирания надзор, а не да се представя като негов заместител.
Източници и допълнителна информация
Първично законодателство и надзорни материали. Практическите примери и шаблони в това ръководство са предложения, а не предписани от регулатора формуляри.
- DORA: членове 5, 13 и 16
- Въпроси и отговори на EIOPA 250–3380: обучение и пропорционалност
- ЕЦБ: очаквания за експертните познания на управителните органи на банките в областта на ИКТ и сигурността
Това ръководство има образователна цел. Потвърдете обхвата, приложимата рамка и надзорните изисквания с правния си екип и екипа по съответствие.
