Die Kurzantwort
Eine Teilnahmebescheinigung kann zeigen, dass eine namentlich genannte Person die dokumentierten Kriterien eines bestimmten Kursformats erfüllt hat. Sie belegt jedoch allein keine DORA-Konformität der finanziellen Einheit oder eine von der EU anerkannte Qualifikation. Bewerten Sie Lehrplan, Prüfung, Lernnachweis und Titel des Dokuments.
1. Trennen Sie den Abschluss von der Einhaltung der Organisationsvorgaben
Ein Geschäftsführer kann einen relevanten Kurs abschließen, obwohl das Unternehmen eine ungetestete Wiederherstellungsabhängigkeit, einen überfälligen Audit-Befund oder eine unzureichende Lieferantenausstiegsregelung hat. Schulungen helfen, diese Probleme zu erkennen und kritisch zu hinterfragen. Sie beseitigen sie jedoch nicht. Das Zertifikat sollte den Bildungserfolg beschreiben, ohne daraus eine Bewertung aller Kontrollen der Organisation abzuleiten.
DORA Trainingsvorgaben konzentrieren sich auf Wissen, Fähigkeiten, angemessenes Lernen und die Verantwortung der relevanten Rollen. Artikel 5(4) und 13(6) schreiben kein bestimmtes Anerkennungssystem oder eine einheitliche Prüfung und Bestehensquote vor. Ein Anbieter kann eine Bewertung wählen und eine Teilnahmebestätigung ausstellen, sollte diese Kriterien aber als Teil des Programmdesigns darstellen. Schließen Sie aus der EU-Flagge, einem offiziellen Siegel oder dem Begriff Zertifiziert auf einer Marketingseite nicht auf regulatorische Anerkennung.
Für ein Finanzinstitut, das den allgemeinen Rahmen nutzt, sollte die Vorstandsbildung die Fähigkeit unterstützen, IKT-Risiken und ihre betrieblichen Auswirkungen zu verstehen und zu bewerten. Für Einrichtungen mit Anspruch auf das vereinfachte Rahmenwerk gemäß Artikel 16 gelten andere Vorgaben, einschließlich eigener Anforderungen an Mitarbeiter- und Managementschulungen. Ein Zertifikat sollte nicht behaupten, dass Artikel 5(4) die anwendbare Grundlage für jeden Kunden ist. Legen Sie Geltungsbereich und Rahmen separat fest, zusammen mit den für die Rechts- und Compliancebewertung der Einrichtung verantwortlichen Personen.
2. Erfassen Sie, wer genau was erledigt hat
Ein nützliches Abschlussdokument benennt Lernenden, Organisation, Kurstitel, Kursversion, Abschlussdatum, Aussteller und eine eindeutige Zertifikats-ID. Die Berufsrolle liefert den Kontext, warum das Lernen zugewiesen wurde. Wo eine Prüfung Teil der Kriterien ist, sollte der Nachweis das Ergebnis sowie die Durchfallgrenze des Anbieters zeigen. Vermeiden Sie ein Dokument, das lediglich den Besuch der DORA-Schulung bestätigt, ohne anzugeben, was das bedeutet.
Das Zertifikat auch nach Katalogänderungen verständlich halten. Ein späterer Prüfer muss erkennen können, ob die Person ein kurzes Einstiegsmodul oder ein achtteiliges Führungsprogramm abgeschlossen hat. Beide erzeugen einen Nachweis, sind aber nicht gleichwertig. Ein Titel allein ist eine schwache Referenz, da Marketingnamen sich ändern können. Die Version sollte einen stabilen Lehrplan und Prüfungsaufbau kennzeichnen, das der Anbieter erläutern kann.
Trennen Sie Identität von Befugnis. Die Teilnahme an einem Vorstandskurs belegt nicht zwangsläufig die Mitgliedschaft im Leitungsorgan, die Genehmigungsbefugnis für Risiken oder einen extern geprüften Berufsstatus. Bei BlueTeam Academy wird die professionelle Rolle vom Lernenden selbst angegeben und im Abschluss-Snapshot festgehalten; sie stellt keine unabhängige Berechtigungsprüfung dar. Unternehmen müssen ihre Governance-Aufzeichnungen nutzen, um zu prüfen, wer welche Aufgaben hat und warum ein Programm zugewiesen wurde.
3. Überprüfen Sie das Zertifikat anhand des Lernnachweises
Die gezieltere Frage ist nicht, ob der Anbieter ein ansprechendes PDF erstellt, sondern ob die Belege das Lernen erklären. Verlangen Sie die zugewiesenen Module, Lernziele, Version, Abschlussdaten der Module, Prüfungsversuche und Ergebnis. Wo schriftliche Entscheidungen oder Szenarien Teil des Programms sind, prüfen Sie, wie sie aufbewahrt werden und ob ihre Qualität geprüft wurde. Der Nachweis sollte diese Unterscheidung explizit machen.
Ein Seitenabschlussereignis kann eine Bestätigung zeigen, dass Inhalte gelesen wurden. Eine Entscheidungsprüfung kann zeigen, ob ein Teilnehmer auf eine definierte Situation reagiert hat. Ein Szenario-Test kann die Anwendung von Konzepten über verschiedene Entscheidungen hinweg abbilden. Ein moderierter Workshop kann Meinungsverschiedenheiten und Annahmen aufdecken. Das sind unterschiedliche Messpunkte. Keiner davon sollte stillschweigend als umfassende unabhängige Kompetenzbeurteilung ausgegeben werden.
Betrachten Sie ein Wiederherstellungsszenario: Primärservice und Wiederherstellungsumgebung nutzen denselben Cloud-Identitätsanbieter. Ein Lernender, der sich lediglich an eine Paragraphennummer erinnert, hat nicht gezeigt, dass er die Wiederherstellungsschätzung hinterfragen kann. Eine sinnvollere Übung fragt nach gemeinsamen Abhängigkeiten, Abgleichschritten und Belegen, die vor der Anerkennung der Managementaussage berücksichtigt werden müssen. Das Festhalten der Begründung des Lernenden unterstützt die Urteilssicherheit. Falls die Begründung gespeichert, aber nicht bewertet wird, sollte dies im Zertifikat und Evidenznachweis stehen.
4. Versionen, Versuche und Auffrischungshistorien erhalten
Lernnachweise sollten normale Änderungen am Kurs und Konto der lernenden Person überdauern. Eine neue Programmausgabe sollte keine frühere Bewertung überschreiben oder einen Einsteigerabschluss zu einer umfassenderen Qualifikation umdeuten. Bewahren Sie Kursversion, Kriterien und relevante Identitätsdaten so auf, wie sie bei Ausstellung des Zertifikats vorlagen. Wechselt die lernende Person später die Rolle, sollte das ursprüngliche Zertifikat als verständlicher historischer Nachweis erhalten bleiben.
Bewahre nicht erfolgreiche Versuche als Lernnachweis auf, anstatt nur das beste Ergebnis ohne Kontext zu zeigen. Ein späteres Bestehen zeigt, dass die teilnehmende Person die Programmkriterien schließlich erfüllt hat. Das macht frühere Schwierigkeiten für die Lernunterstützung nicht irrelevant. Unternehmensadministratoren möchten womöglich wiederholt verpasste Themen besprechen oder eine Zusatzübung organisieren. Der Bericht soll das Ergebnis korrekt zeigen und eine gescheiterte Erstteilnahme nicht als Bewertung der generellen beruflichen Eignung werten.
Auffrischungen sollten eine eigene Version und Abschlussdokumentation haben. Ein vorgeschlagenes Überprüfungsdatum ist ein Planungsinstrument und kein automatisches gesetzliches Ablaufdatum für ein Zertifikat. Wesentliche Änderungen können eine frühere Fortbildung erfordern. Workshop-Protokolle sollten von bewerteten Kursabschlüssen getrennt bleiben, und Korrekturen sollten eine Prüfhistorie behalten. Siehe Wie oft eine DORA-Schulung erforderlich ist für den Zusammenhang zwischen einem regelmäßigen Zyklus, Rollenanforderungen und durch Änderungen bedingten Aktualisierungen.
5. Geben Sie dem Unternehmenseinkauf einen Bericht über Lücken
Ein Unternehmenseinkäufer muss mehr wissen als nur, wie viele Zertifikate heruntergeladen wurden. Der Bericht sollte zeigen, wem welche Version zugewiesen wurde, was noch aussteht, die Frist und das Ergebnis. Fügen Sie Modul-Lücken hinzu, damit ersichtlich ist, ob Lernende Kontinuität oder Lieferantenkontrolle noch nicht erreicht haben oder nur die Prüfung fehlt. Auch stornierte Zuweisungen und inaktive Mitgliedschaften sollten in der Historie nachvollziehbar bleiben.
Verknüpfen Sie die Zertifikatskennung mit einem protokollierten bestandenen Versuch, anstatt den Browser aus dem lokalen Seitenstatus einen Erfolg melden zu lassen. Der Nachweis muss auf die Organisation begrenzt sein: Der Administrator eines Unternehmens darf Zertifikate oder schriftliche Antworten eines anderen Unternehmens nicht abrufen können. Lernende sollten ihre eigenen Nachweise erhalten können, ohne Zugriff auf private Lernbelege von Kollegen zu bekommen.
Bei einer zugewiesenen Auffrischung unterscheiden Sie zwischen einer abgeschlossenen Teilnahme vor der offiziellen Zuweisung und einem neuen Versuch nach der Zuweisung. Andernfalls kann ein früheres Bestehen dazu führen, dass eine neue Lernverpflichtung sofort als erledigt gilt. Gleichzeitig soll der frühere Eintrag erhalten bleiben und nicht gelöscht werden. Ein nützlicher Unternehmensbericht unterstützt Entscheidungen zu Betreuung, Nachverfolgung und überfälligen Aufgaben. Er sollte den Gesamtabschlussprozentsatz nicht in die Aussage umwandeln, das Unternehmen sei DORA-konform.
6. Unternehmenskontext und Workshops ehrlich dokumentieren
Ein Führungsprogramm wird relevanter, wenn der Lernende es mit den Finanzdienstleistungen, Abhängigkeiten und dem Risikoprofil der Organisation verknüpft. Ein Unternehmen kann einen allgemeinen Servicekontext dokumentieren und für Entscheidungsübungen nutzen. Vermeiden Sie es, personenbezogene Kundendaten, Zugangsdaten oder detailliert ausnutzbare Schwachstellen in eine Lerneinheit aufzunehmen. Ziel ist es, Entscheidungen und Annahmen zu überprüfen, nicht ein weiteres unkontrolliertes Verzeichnis sensibler Betriebsdaten zu schaffen.
Für einen freiwilligen Workshop erfassen Sie Datum, Dauer, Moderator, Teilnehmende, Ziele, Servicekontext und wichtige Entscheidungen. Notieren Sie offene Fragen, Zuständige für Nachverfolgung und später erwartete Nachweise. Wird der Eintrag von einer Unternehmensadministration vorgenommen, kennzeichnen Sie dies als deren Bestätigung. Es sollte nicht automatisch ein Kurszertifikat der Academy ausgestellt oder suggeriert werden, dass die Academy die Veranstaltung unabhängig beobachtet hat.
Korrekturen benötigen eine klar nachvollziehbare Historie. Wenn die Anwesenheit für die falsche Person eingetragen wurde, dokumentieren Sie nachvollziehbar die Korrektur oder den Verfall und erstellen Sie den korrekten Datensatz im normalen Prozess. Löschen Sie die Abweichung nicht stillschweigend. Ein Prüfer sollte nachvollziehen können, was geschehen ist, ohne jede Änderung als Fehlverhalten zu sehen. Ebenso kann der Abschluss eines Workshops eine Kontrolllücke aufdecken, statt sie zu schließen; halten Sie operative Abhilfemaßnahmen getrennt von dem Nachweis, dass sie diskutiert wurden.
7. Fragen an einen DORA-Trainingsanbieter
Bitten Sie den Anbieter, vor dem Kauf eine echte Lernerfahrung, eine Szenariobewertung und einen Beleg-Export zu demonstrieren. Prüfen Sie, ob die Schulung Entscheidungen des Leitungsorgans zu Risiko, Kontinuität, Wiederherstellung, Ressourcen, Audit und Drittanbietern behandelt. Allgemeine Mitarbeiterschulungen können Wissen vermitteln, verfolgen aber nicht dasselbe Ziel wie ICT-Risikosteuerung. Verstehen Sie, für welche Zielgruppe das Produkt ausgelegt ist und in welchen Bereichen zusätzliche firmenspezifische Arbeit erforderlich ist.
Fragen Sie den Anbieter, wie Dauer und Frequenz beschrieben werden. Drei Stunden können eine Schätzung inklusive Übungen sein; sie ist nicht automatisch eine gesetzliche Mindestanforderung. Eine jährliche Auffrischung kann sinnvoll empfohlen sein, aber nicht als allgemein verpflichtendes Intervall verkauft werden. Fragen Sie, wie materielle Änderungen zu aktualisierten Inhalten führen und wie die Plattform ältere Versionen bewahrt. Wird eine Zertifizierung behauptet, fordern Sie das genaue Schema und überprüfen Sie es unabhängig, statt sich auf ein generisches Gütesiegel zu verlassen.
Zum Schluss testen Sie den Ablauf operativer Nachweise. Können Ihre Administratoren die richtigen Personen zuweisen, offene Module sehen, Ergebnisse exportieren und die Zertifikatversion feststellen? Können Lernende ihren eigenen Nachweis abrufen? Wird zwischen Workshop-Teilnahme und Bewertung unterschieden? Erklärt der Anbieter die Grenzen automatischer Bewertung? Diese Fragen helfen einzuschätzen, was das Zertifikat tatsächlich aussagt und ob das Produkt Ihre Governance unterstützt, statt nur ein weiteres Dokument abzulegen.
8. Was BlueTeam Academy aufzeichnet
DORA Board & Executive Training umfasst acht Module, eine schriftliche Entscheidungsübung und eine Entscheidungsüberprüfung in jedem Modul sowie eine szenariobasierte Bewertung mit 16 Fragen. Für den Abschluss sind die Modul-Checks und eingereichte schriftliche Übungen sowie mindestens 80 % in der Bewertung erforderlich. Dies sind Academy-Kriterien. Der Richtwert für das angeleitete Lernen liegt bei etwa drei Stunden inklusive Übungen und Bewertung, wobei das individuelle Lerntempo variieren kann.
Das Abschlusszertifikat hält Lernenden, Organisation, festgelegte berufliche Rolle, Version, Ziele, Modultermine und das Bewertungsergebnis zum Zeitpunkt der Ausstellung fest. Schriftliche Antworten werden als Nachweis gespeichert, aber nicht automatisch auf professionelle Qualität geprüft. Der Server erstellt das Zertifikat nach einem bestandenen Versuch. Das druckbare Dokument kann im Browser als PDF gespeichert werden, während der Nachweisexport den zugrunde liegenden strukturierten Datensatz für autorisierte Benutzer bereitstellt.
Der Unternehmensbericht enthält außerdem zugewiesene Module, Lücken, Zertifikatskennungen, Auffrischungsverlauf und Workshop-Aufzeichnungen. Die separate Auffrischung unterstützt aktuelles Wissen; unternehmensspezifische Diskussionen sichern die Relevanz für die tatsächlichen Dienste. Das ist der Umfang der Aussage: Der Bericht dokumentiert das Lernen und die Abschlusskriterien der Academy. Er ist keine EU-Akkreditierung, keine Fachlizenz und keine Feststellung der Compliance der Finanzorganisation mit DORA.
Fragen, die Führungskräfte stellen
Wird ein von der EU genehmigtes DORA-Trainingszertifikat gemäß Artikel 5(4) oder 13(6) benötigt?
Diese Vorgaben nennen kein verpflichtendes Akkreditierungssystem und kein vorgeschriebenes Zertifikat. Ein Anbieter kann ein Teilnahmezertifikat nach seinen eigenen veröffentlichten Kriterien ausstellen. Der Käufer sollte Lehrplan, Bewertung, Rolleneignung und Nachweise prüfen und aus Gestaltung oder Wortlaut des Dokuments nicht auf eine EU-Genehmigung schließen.
Läuft ein Zertifikat nach zwölf Monaten ab?
Ein Programm kann einen Auffrischungs- oder Überprüfungsintervall empfehlen, dies unterscheidet sich jedoch von der Behauptung, DORA gebe jedem Trainingszertifikat ein generelles zwölfmonatiges rechtliches Ablaufdatum. Berücksichtigen Sie das jeweils relevante Rahmenwerk, Aufsichtserwartungen, Rolle, Risiko und materielle Änderungen. Bewahren Sie das ursprüngliche Abschlussdatum und die Version auf und erfassen Sie spätere Schulungen als eigene Aktivität.
Kann die Teilnahme an einem Workshop die Szenariobewertung ersetzen?
Im Academy-Programm ist die Teilnahme an Workshops von der bewerteten Absolvierung getrennt und stellt kein automatisches Kurszertifikat aus. Ein Unternehmen kann Workshops nutzen, um das Lernen zu vertiefen und Entscheidungsfindung zu reflektieren, aber der Nachweis sollte klar machen, was von wem und nach welchen Kriterien beobachtet wurde. Die reine Teilnahme darf nicht als unabhängig bewertetes Ergebnis umdeklariert werden.
Quellen und weiterführende Informationen
Hauptgesetzgebung und aufsichtsrechtliches Material. Praktische Beispiele und Vorlagen in diesem Leitfaden sind Vorschläge, keine vorgeschriebenen regulatorischen Formulare.
- DORA: Governance und Trainingsvorgaben
- EIOPA: Digital Operational Resilience Act
- EIOPA Q&A 250–3380: Proportionalität von Schulungen
Dieser Leitfaden dient der Schulung. Überprüfen Sie mit Ihrem Rechts- und Compliance-Team den Geltungsbereich, anzuwendenden Rahmen und aufsichtsrechtliche Anforderungen für Ihr Unternehmen.
