DORA-Schulungsanforderungen für Leitungsorgane: Artikel 5(4) erklärt

Beginnen Sie mit Organisation und Personen, nicht mit dem Kurskatalog

DORA gilt seit dem 17. Januar 2025. Der Anwendungsbereich im Finanzsektor wird durch Unternehmenskategorien und Ausnahmen bestimmt; DORA ist kein allgemeines Schulungsgesetz für jedes europäische Unternehmen. Bestimmen Sie den Ausgangspunkt anhand Ihrer Zulassung, Ihres Rechtsträgers und der einschlägigen aufsichtlichen Vorschriften. Der DORA-Überblick der EIOPA erklärt den Sektorkontext; Artikel 2 ist die Vorschrift zum Anwendungsbereich.

Dokumentieren Sie den Schulungsumfang auf einer Seite, bevor Sie Schulungen zuweisen. Nennen Sie das regulierte Unternehmen, den geltenden Rahmen, seine Leitungsorgane, deren Mitglieder und die Person, die diese Zuordnung geprüft hat. Ein konzernweites Programm kann gemeinsame Inhalte vermitteln. Das Leitungsorgan einer Tochtergesellschaft muss dennoch die eigenen Dienste, Abhängigkeiten und Entscheidungen verstehen. Ein Schulungsbericht der ausländischen Muttergesellschaft zeigt nicht, ob die örtlichen Leitungsmitglieder die lokalen Wiederherstellungsverfahren kennen.

Berücksichtigen Sie bei der Bestimmung der Zielgruppe die tatsächlichen Zuständigkeiten in der Unternehmensführung. „Leitungsorgan“ ist ein Rechtsbegriff, dessen Zuordnung sich aus Artikel 3(30) ergibt. Er bezeichnet nicht einfach alle Personen mit „Manager“ in ihrer Stellenbezeichnung. Lassen Sie Ihr Governance- oder Rechtsteam bestätigen, wie der Begriff auf Ihre Organisationsstruktur anzuwenden ist. Nehmen Sie neu ernannte Mitglieder sofort in das Schulungsregister auf; lassen Sie sie nicht bis zur nächsten gemeinsamen Schulungsrunde warten.

Eine wichtige Ausnahme gilt für Unternehmen, die unter das vereinfachte Rahmenwerk nach Artikel 16 fallen. Sie wenden die Artikel 5–15 nicht unmittelbar an. Ihre Schulungs- und Governance-Anforderungen ergeben sich aus diesem Rahmenwerk und den zugehörigen technischen Standards. Vereinfacht bedeutet nicht, dass keine Schulung erforderlich ist.

Trennen Sie Anforderung und Schulungsformat.

Artikel 5(4) verknüpft regelmäßiges, gezieltes Lernen mit der Fähigkeit, IKT-Risiken und deren geschäftliche Auswirkungen zu verstehen und zu bewerten. Artikel 13(6) behandelt gesondert die Sensibilisierung und Resilienzschulung der Beschäftigten und der Geschäftsleitung. Keine der beiden Bestimmungen legt eine allgemeingültige Anzahl jährlicher Kursstunden fest.

Dieser Unterschied ist bei der Beschaffung eines Schulungsprogramms wichtig. Ein Anbieter kann einen schlüssigen Lehrplan, einen Lernnachweis und eine Lernerfolgsprüfung bereitstellen. Ihr Unternehmen muss dennoch entscheiden, ob die Inhalte die Verantwortlichkeiten und Risiken der Teilnehmenden abdecken. Ein Zertifikat kann weder einen Wiederherstellungsplan bestätigen, den die lernende Person nie gesehen hat, noch eine Lieferantenabhängigkeit, von deren Existenz der Kurs nichts weiß.

Legen Sie überprüfbare Lernziele fest, bevor Sie das Format auswählen. Nach der Schulung sollte ein Mitglied des Leitungsorgans erklären können, welcher Dienstausfall den größten Schaden verursachen würde, wo die Nachweise des Managements schwach sind und welche Entscheidungen während einer Störung beim Leitungsorgan verbleiben. Eine Führungskraft sollte die eigenen Eskalationsverfahren anwenden können, ohne unvertraute Richtliniendokumente durchsuchen zu müssen.

Ein praxisorientiertes Programm besteht daher aus drei Ebenen: einer gemeinsamen konzeptionellen Grundlage, einer Einführung in die eigene Organisation und einer Entscheidungsübung. Für die erste Ebene eignet sich das Online-Lernen; die zweite können eine dienstverantwortliche und eine risikoverantwortliche Person übernehmen; die dritte wird in einer moderierten Diskussion geprüft. Diese Kombination ist ein Gestaltungsvorschlag, keine vorgeschriebene Durchführungsform.

Richten Sie eine Schulungsmatrix an den Entscheidungen aus, die die Teilnehmenden treffen

Die folgende Matrix dient als Ausgangsvorlage. Ersetzen Sie die Beispiele durch die tatsächlichen Verantwortlichkeiten Ihres Unternehmens und belassen Sie sensible betriebliche Details in Ihrer kontrollierten Lernumgebung. Weisen Sie jeder Zeile eine verantwortliche Person zu, die bestätigen kann, ob das zugesagte Lernergebnis erreicht wurde.

Eine nützliche Matrix enthält mehr als eine Modulliste. Ergänzen Sie die benötigte Sprache, Anforderungen an die Barrierefreiheit, den nächsten Überprüfungstermin, die Materialversion, die bewertende Person und Abhilfemaßnahmen. Jemand versteht vielleicht die Grundbegriffe, benötigt aber Hilfe bei der Auswertung einer Analyse der Geschäftsauswirkungen. Eine andere Person verfügt möglicherweise über umfassendes technisches Fachwissen, ist aber mit den Führungs- und Kontrollstrukturen im Finanzsektor kaum vertraut.

Ordnen Sie nicht allen dasselbe Nachschulungsprogramm zu, nur weil eine Person Schwierigkeiten hatte. Dokumentieren Sie die Lücke präzise: „Konnte nicht benennen, wer die Kundenkommunikation im Notfall freigibt“ führt zu einer sinnvollen Maßnahme; „Benötigt mehr Bewusstsein für Cybersicherheit“ nicht. Bitten Sie die teilnehmende Person, das relevante interne Verfahren erneut durchzugehen und die Entscheidung dann in eigenen Worten zu erläutern.

Wählen Sie einen begründbaren Rhythmus und klare Kriterien für eine Aktualisierung

Die abschließende Antwort der EIOPA auf Frage DORA 250-3380 verknüpft die Schulungshäufigkeit mit Rollen und dem Grundsatz der Verhältnismäßigkeit und verweist bei der Aktualisierung von Schulungsprogrammen auf Erkenntnisse aus Vorfällen und relevante Bedrohungsinformationen. Ein Kalender allein ist daher kein vollständiges Schulungskonzept. Dokumentieren Sie sowohl Ihren regulären Schulungsrhythmus als auch die Ereignisse, die eine frühere Schulung auslösen können.

Für ein Leitungsorgan mit geringen Vorkenntnissen ist folgender interner Vorschlag sinnvoll: eine Einführung bei der Ernennung, eine geplante jährliche Auffrischung der Grundlagen, gezielte Briefings vor wesentlichen Entscheidungen und eine Übung, wenn die Geschäftssituation oder die Bedrohungslage dies erfordert. Dies sind Vorschläge für die zeitliche Planung. Die jährliche Auffrischung der Grundlagen ist keine gesetzlich festgelegte Schulungshäufigkeit. Ein Unternehmen mit vielen Veränderungen oder hohen Risiken kann deutlich mehr benötigen.

• Ein neues Betriebsmodell, eine Übernahme oder ein kritischer Service bringt ungewohnte Abhängigkeiten mit sich.
• Ein wesentlicher Vorfall macht Unklarheiten bei der Eskalation, den Auswirkungen auf Kunden oder den Befugnissen zur Wiederherstellung deutlich.
• Ein Test zeigt, dass eine angenommene Umgehungslösung nicht im erforderlichen Umfang funktioniert.
• Ein Anbieterwechsel verändert Konzentrationsrisiken, den Datenzugriff oder die Möglichkeiten für einen Ausstieg.
• Ein Mitglied des Leitungsorgans wechselt seine Rolle in einem Ausschuss oder übernimmt eine neue Verantwortung.
• Eine wesentliche rechtliche oder aufsichtsrechtliche Entwicklung verändert die Entscheidungen, die das Leitungsorgan verstehen muss.

Legen Sie fest, wer diese Auslöser überprüft. Ein Schulungsregister, das nur an ablaufende Fristen erinnert, verpasst die wertvollsten Lernanlässe. Ergänzen Sie bei wesentlichen Änderungsvorschlägen und Maßnahmen nach Vorfällen ein kurzes Feld „Auswirkungen auf den Schulungsbedarf“, damit das Programm auf Ereignisse reagieren kann.

Planen Sie Zeit für die Diskussion ein. Eine fünfminütige Lagebesprechung, die zu einer klaren, dokumentierten Entscheidung führt, kann nützlicher sein als eine weitere Stunde, in der nur passiv Folien betrachtet werden. Das bedeutet nicht, dass fünf Minuten für das gesamte Programm ausreichen. Es zeigt vielmehr, warum neben der Dauer auch Relevanz und Verständnis gemessen werden sollten.

Bewahren Sie Lernnachweise auf und halten Sie fest, was sich danach geändert hat

Dokumentieren Sie den Weg vom erkannten Lernbedarf über die vermittelten Inhalte und die Teilnahme bis zur Lernkontrolle und den daraus abgeleiteten Maßnahmen. Ein Kollege sollte ihn ohne Rückfragen an die Programmleitung nachvollziehen können. Dies ist unser Vorschlag für die Dokumentation; DORA schreibt nicht genau diese Felder vor.

1. Erfassen Sie Zielgruppe, Rolle und Grund für die Zuordnung des Lerninhalts.
2. Bewahren Sie den Lehrplan, die Materialversion, das Durchführungsdatum und das Datum der Quellenprüfung auf.
3. Erfassen Sie die Teilnahme oder den Abschluss so, dass die tatsächlich teilnehmende Person eindeutig identifiziert werden kann.
4. Bewahren Sie die Bewertungsergebnisse und eine kurze Übersicht über die verwendeten Fragen auf.
5. Notieren Sie Lücken, Verantwortliche für deren Schließung und einen Fertigstellungstermin.
6. Verknüpfen Sie die inhaltliche Diskussion mit der entsprechenden Entscheidung des Leitungsorgans oder dem zugehörigen Maßnahmenprotokoll.

Prüfen Sie sowohl das Urteilsvermögen als auch das Faktenwissen. „Welcher Artikel behandelt die Unternehmensführung?“ prüft das Gedächtnis. „Der Anbieter meldet, dass der Betrieb wiederhergestellt ist, aber der Transaktionsabgleich ist noch unvollständig: Welche Nachweise fordern Sie an, bevor der Normalbetrieb wieder aufgenommen wird?“ prüft, ob Führungskräfte eine wichtige Unterscheidung treffen können. Die Teilnehmenden müssen nicht dieselben operativen Entscheidungen treffen, sollten aber Unsicherheit erkennen und ihre Entscheidungen begründen.

Eine Abschlussquote sollte immer die Bezugsgröße und ein Datum nennen. „Acht von zehn erfassten Mitgliedern haben die aktuelle Grundlagenschulung abgeschlossen; für zwei neu ernannte Mitglieder ist eine Einführung geplant“ ist aussagekräftiger als „80 % konform“. Schulungsstand und regulatorische Konformität sind unterschiedliche Dinge.

Legen Sie gemeinsam mit den Verantwortlichen für Datenschutz, Schriftgutverwaltung und Unternehmensführung Aufbewahrungs- und Zugriffsregeln fest. Beschränken Sie den Zugriff auf individuelle Bewertungsergebnisse auf diejenigen, die diese benötigen. Für die Unterlagen des Leitungsorgans reichen möglicherweise der zusammengefasste Stand und die noch offenen Lücken aus. Bewahren Sie die damalige Kursversion auf, damit bei einer späteren Prüfung nachvollziehbar ist, was tatsächlich vermittelt wurde.

Praxisbeispiel: Mit einer Störung den tatsächlichen Lernbedarf erkennen

Betrachten Sie diese fiktive Übung. Das Transaktionsportal für Kunden eines Finanzunternehmens ist um 09:15 Uhr nicht verfügbar. Der Anbieter meldet, dass die Infrastruktur ordnungsgemäß funktioniert, kann aber die Konsistenz der Transaktionen in der Warteschlange noch nicht bestätigen. Beim Kundendienst gehen Beschwerden über doppelte Zahlungen ein. Der nächste Lagebericht für die Führungsebene ist in zwanzig Minuten fällig.

Erste Entscheidung: Beschreiben Sie das Problem aus geschäftlicher Sicht

Bitten Sie die Teilnehmenden, den betroffenen Dienst, die gefährdeten Kunden und die Folgen des Abwartens zu beschreiben. Eine gute Antwort unterscheidet zwischen der Erreichbarkeit eines Dienstes und der zuverlässigen Verarbeitung von Transaktionen. Sie benennt auch, was noch unbekannt ist. Wenn die Diskussion sofort zu einer Debatte über die Fachbegriffe des Anbieters wird, muss das Programm stärker vermitteln, wie technische Fakten in geschäftliche Folgen übersetzt werden.

Zweite Entscheidung: Entscheidungsbefugnis und Eskalationsweg klären

Fragen Sie, wer die Transaktionsverarbeitung einschränken darf, wer den Vorfall koordiniert, wer das Meldeverfahren anwendet und wann das Leitungsorgan über den aktuellen Stand informiert wird. Die Teilnehmenden sollten die in ihrer Organisation genehmigten Rollen und Verfahren nutzen. Erfinden Sie für die Übung keine Meldefrist und warten Sie nicht auf eine Sitzung des vollzählig versammelten Leitungsorgans, bevor ein autorisiertes Team einer bestehenden Pflicht zur Vorfallmeldung nachkommt.

Dritte Entscheidung: Nachweise für die Wiederherstellung festlegen

Der Lieferant meldet, dass die Plattform wieder verfügbar ist. Ein Mitglied des Leitungsorgans sollte fragen, welche Datenabgleiche, fachlichen Prüfungen und Maßnahmen zum Kundenschutz die Wiederaufnahme des Betriebs stützen. Die Übung sollte der Geschäftsleitung ermöglichen, verschiedene Optionen und deren Folgen zu erläutern, einschließlich eines kontrollierten Teilbetriebs. „Das Dashboard ist grün“ ist eine Beobachtung, aber keine ausreichende Begründung dafür, dass die Wiederherstellung gelungen ist.

Schließen Sie mit einer kurzen Nachbesprechung ab. Vielleicht hat das Leitungsorgan die Eskalation verstanden, konnte aber das Wiederherstellungsziel nicht vom zuletzt nachgewiesenen Ergebnis unterscheiden. Erteilen Sie einen gezielten Lernauftrag, bitten Sie den Dienstverantwortlichen, den Bericht zu verbessern, und greifen Sie die Entscheidung in einer späteren Sitzung erneut auf. So verbinden Sie Lernen, Nachweise und eine bessere Aufsicht direkt miteinander, ohne zu behaupten, dass eine Planspielübung die technische Wiederherstellungsfähigkeit belegt.

Prüfen Sie, ob ein DORA-Kurs zum Bedarf Ihres Leitungsorgans passt

Nutzen Sie eine Beschaffungsvorlage, die danach fragt, was die Teilnehmenden nach der Schulung können sollen. Fordern Sie einen Lehrplan, ein Beispielszenario für Führungskräfte, die Rechtsquellen und das Datum ihrer Überprüfung, Angaben zum Bewertungsverfahren sowie zu den Informationen in den Abschlussnachweisen an. Fragen Sie, wie der Anbieter die Materialien korrigiert, wenn sich die Rechtslage oder die Position der Aufsicht ändert.

Achten Sie auf klare Grenzen. Ein Grundlagenkurs sollte benennen, welche Fragen innerhalb Ihrer Organisation besprochen werden müssen. Wenn ein Anbieter behauptet, dass Ihr Unternehmen durch den Abschluss eines einzigen Moduls DORA-konform wird, fragen Sie, wie er Ihr Betriebsmodell, Ihre Kontrollen, Verträge und Nachweise bewertet hat. Allein durch die Durchführung einer Schulung lässt sich diese Behauptung nicht belegen.

Setzen Sie auf verständliche Erklärungen zu Verfügbarkeit, Datenintegrität, Abhängigkeiten zwischen Diensten, Wiederherstellung des Betriebs und Risikoverantwortung statt auf ein umfangreiches Glossar. Ein Leitungsorgan muss keine Firewall konfigurieren können, um eine unbelegte Annahme zur Wiederherstellung zu hinterfragen. Es braucht aber die Sicherheit, nachzufragen, was die Geschäftsleitung getestet hat und was noch ungewiss ist.

Der Kurs DORA-Cybersicherheitsschulung für Leitungsorgane und Führungskräfte der BlueTeam Academy vermittelt in acht Modulen und etwa drei Stunden angeleitetem Lernen, wie Sie fundierte Entscheidungen treffen. Schaffen Sie damit eine gemeinsame Wissensbasis und ergänzen Sie Informationen zu Ihren eigenen Diensten, rollenspezifische Diskussionen und einen Plan für die weitere Schulung. Der Abschluss ist ein Lernnachweis, keine Akkreditierung und kein Beleg dafür, dass Ihr Unternehmen DORA erfüllt.

Ein praktischer 90-Tage-Plan für ein bestehendes Leitungsorgan

Dies ist eine Abfolge von Umsetzungsschritten zur Verbesserung eines Programms, keine aufsichtsrechtliche Übergangsfrist. Geben Sie dringenden Wissenslücken sofort Vorrang, wenn sie bereits laufende Entscheidungen beeinflussen.

Benennen Sie eine Person für die Programmkoordination; die fachliche Verantwortung bleibt bei den jeweils zuständigen Funktionen. Die koordinierende Person kann den Abschluss nachhalten und Aufzeichnungen aufbewahren. Die Leitung des Risikomanagements prüft die Relevanz, die Verantwortlichen für die Dienste erläutern die betrieblichen Gegebenheiten, und die vorsitzende Person stellt ausreichend Zeit für eine fundierte Diskussion sicher. Dokumentieren Sie, wie mit Abwesenheiten, Neubesetzungen und noch offenen Lücken aus den Leistungsprüfungen umgegangen wird.

Prüfen Sie bei der abschließenden Überprüfung stichprobenartig die vollständige Lerndokumentation einer teilnehmenden Person und eine aus der Übung hervorgegangene Maßnahme. Können Sie sowohl zeigen, dass die Person etwas Relevantes gelernt hat, als auch, dass die Organisation das dabei erkannte Problem angegangen ist? Fehlt eines dieser Bindeglieder, verbessern Sie es, bevor Sie weitere Inhalte hinzufügen.

Nehmen Sie diese Fragen in die nächste Sitzung des Leitungsorgans mit

• Haben wir alle Personen ermittelt, die diese Schulung aufgrund ihrer Rolle benötigen?
• Kann jedes Mitglied unsere folgenreichste IKT-Abhängigkeit erklären?
• Enthält unser Programm Nachweise zu unseren eigenen Diensten und deren Wiederherstellung?
• Welcher Vorfall, welcher Test oder welche Änderung aus jüngster Zeit sollte zu einer Anpassung des Schulungsplans führen?
• Welche noch bestehenden Wissenslücken könnten eine Entscheidung in diesem Quartal beeinflussen?
• Können wir nachvollziehen, ob eine Lernaktivität zu fundierterem Hinterfragen oder einer abgeschlossenen Maßnahme geführt hat?

Nutzen Sie die Antworten, um gezielte Tagesordnungspunkte festzulegen. Ein Leitungsorgan mit soliden Grundkenntnissen benötigt möglicherweise eine ausführliche Diskussion über einen einzelnen Anbieter. Ein neu bestelltes Leitungsorgan benötigt möglicherweise zunächst die Grundlagen, um das Risikodashboard interpretieren zu können. Beide sollten erklären können, warum ihr Programm zu ihren Zuständigkeiten passt.

Lesen Sie auch unseren Leitfaden zu den DORA-Verantwortlichkeiten des Leitungsorgans und nutzen Sie das praktische Dashboard für die DORA-Berichterstattung an das Leitungsorgan. Gemeinsam verknüpfen sie das, was die Mitglieder des Leitungsorgans lernen, mit ihren Entscheidungen und den Informationen, die sie anfordern.