Die Kurzantwort
Eine Abschlussbescheinigung kann belegen, dass eine namentlich genannte Person die dokumentierten Kriterien eines Anbieters für eine bestimmte Kursversion erfüllt hat. Sie belegt für sich genommen weder die DORA-Konformität des Finanzunternehmens noch lässt sie auf eine von der EU anerkannte Qualifikation schließen. Prüfen Sie neben dem Titel des Dokuments auch den zugrunde liegenden Lehrplan, die Prüfung und die Lerndokumentation.
1. Unterscheiden Sie zwischen dem Kursabschluss und der Einhaltung der Vorschriften durch das Unternehmen
Ein Mitglied des Leitungsorgans kann einen relevanten Kurs abschließen, obwohl im Unternehmen eine Wiederherstellungsabhängigkeit noch nicht getestet, eine Maßnahme aus einem Audit überfällig oder der Plan zum Ausstieg bei einem Dienstleister unzureichend ist. Die Schulung kann helfen, diese Probleme zu erkennen und kritisch zu hinterfragen. Sie beseitigt sie jedoch nicht. Das Zertifikat sollte den Lernerfolg beschreiben, ohne daraus eine Bewertung sämtlicher Kontrollen des Unternehmens abzuleiten.
Die Schulungsbestimmungen von DORA konzentrieren sich auf Wissen, Fähigkeiten, angemessenes Lernen und die Verantwortlichkeiten der jeweiligen Rollen. Artikel 5(4) und 13(6) schreiben weder ein bestimmtes Akkreditierungssystem noch eine allgemeingültige Prüfung mit Bestehensgrenze vor. Ein Anbieter kann eine Lernkontrolle vorsehen und eine Abschlussbescheinigung ausstellen. Er sollte diese Kriterien jedoch als Teil der Programmgestaltung ausweisen. Leiten Sie aus einer EU-Flagge, einem amtlich wirkenden Siegel oder dem Wort „zertifiziert“ auf einer Marketingseite keine aufsichtsbehördliche Genehmigung ab.
Bei einem Finanzunternehmen, für das der allgemeine Rahmen gilt, sollten Schulungen des Leitungsorgans dazu beitragen, IKT-Risiken und ihre betrieblichen Folgen zu verstehen und zu bewerten. Für Unternehmen, die die Voraussetzungen für den vereinfachten Rahmen gemäß Artikel 16 erfüllen, gelten andere Bestimmungen, darunter eine eigene Schulungsanforderung für Beschäftigte und Führungskräfte. Ein Zertifikat sollte nicht behaupten, dass Artikel 5(4) für jeden Kunden die anwendbare Grundlage ist. Klären Sie den Geltungsbereich und den anwendbaren Rahmen gesondert mit den Personen, die für die rechtliche und die Compliance-Bewertung des Unternehmens verantwortlich sind.
2. Erfassen Sie genau, wer welche Schulung abgeschlossen hat
Ein aussagekräftiges Abschlussdokument nennt die lernende Person, die Organisation, den Kurstitel, die Kursversion, das Abschlussdatum, den Aussteller und eine eindeutige Zertifikatskennung. Die berufliche Rolle erklärt, warum die Schulung zugewiesen wurde. Gehört eine Prüfung zu den Kriterien, sollte der Nachweis deren Ergebnis und die vom Anbieter festgelegte Bestehensgrenze zeigen. Vermeiden Sie ein Dokument, das lediglich die Teilnahme an einer DORA-Schulung bestätigt, ohne zu beschreiben, was das bedeutet.
Sorgen Sie dafür, dass das Zertifikat auch nach Änderungen am Kurskatalog verständlich bleibt. Bei einer späteren Prüfung muss erkennbar sein, ob die Person einen kurzen Einführungskurs oder ein Programm mit acht Modulen für Führungskräfte abgeschlossen hat. Für beides kann es einen Nachweis geben; die Abschlüsse sind aber nicht austauschbar. Der Titel allein reicht als historischer Bezug nicht aus, weil sich Marketingnamen ändern können. Die Version muss einen festgelegten Lehrplan und Prüfungsaufbau bezeichnen, die der Anbieter erläutern kann.
Unterscheiden Sie zwischen Identität und Befugnis. Der Abschluss eines Kurses für Leitungsorgane belegt weder die Mitgliedschaft in einem Leitungsorgan noch die Befugnis, Risiken zu genehmigen, noch einen extern überprüften beruflichen Status. Bei BlueTeam Academy geben die Lernenden ihre berufliche Rolle selbst an. Diese Angabe wird im Datensatz zum Zeitpunkt des Kursabschlusses festgehalten; eine unabhängige Prüfung der Qualifikation findet nicht statt. Unternehmen sollten anhand ihrer eigenen Unterlagen zur Unternehmensführung bestätigen, wer welche Aufgaben hat und warum ein bestimmtes Schulungsprogramm zugewiesen wurde.
3. Schauen Sie hinter das Zertifikat und prüfen Sie die Lernnachweise
Die entscheidende Frage ist nicht, ob der Anbieter ein ansprechendes PDF erstellt, sondern ob die Nachweise nachvollziehbar machen, was und wie gelernt wurde. Fordern Sie Angaben zu den zugewiesenen Modulen, Lernzielen, der Version, den Abschlussdaten der Module, den Prüfungsversuchen und dem Ergebnis an. Wenn schriftliche Entscheidungen oder Szenarien Teil des Programms sind, klären Sie, wie sie aufbewahrt werden und ob jemand ihre Qualität überprüft hat. Aus der Dokumentation sollte ausdrücklich hervorgehen, ob eine solche Prüfung stattgefunden hat.
Ein protokollierter Seitenabschluss kann eine Bestätigung dokumentieren, dass der Inhalt gelesen wurde. Eine Entscheidungsaufgabe kann zeigen, ob ein Teilnehmer für eine festgelegte Situation eine durch die vorliegenden Informationen gestützte Antwort ausgewählt hat. Eine szenariobasierte Prüfung kann stichprobenartig zeigen, ob Konzepte bei mehreren Entscheidungen angewendet werden können. Ein moderierter Workshop kann Meinungsverschiedenheiten und Annahmen aufdecken. Das sind unterschiedliche Anhaltspunkte. Keiner davon sollte ohne Weiteres als umfassende, unabhängige Beurteilung der beruflichen Kompetenz dargestellt werden.
Betrachten Sie ein Wiederherstellungsszenario: Der primäre Dienst und die Wiederherstellungsumgebung nutzen denselben Cloud-Identitätsanbieter. Wer lediglich eine Artikelnummer wiedergeben kann, hat damit noch nicht gezeigt, dass er die Schätzung zur Wiederherstellung hinterfragen kann. Eine sinnvollere Übung fragt, welche gemeinsamen Abhängigkeiten, Abgleichschritte und Nachweise berücksichtigt werden müssen, bevor die Aussage der Geschäftsleitung akzeptiert wird. Wird die Begründung der teilnehmenden Person aufbewahrt, lässt sich dieses Urteil besprechen. Wenn die Begründung gespeichert, aber nicht bewertet wird, sollten das Zertifikat und der Nachweisdatensatz dies angeben.
4. Bewahren Sie Versionen, Versuche und den Verlauf der Auffrischungsschulungen auf
Lernnachweise sollten normale Änderungen am Kurs und Konto der lernenden Person überdauern. Eine neue Programmausgabe sollte keine frühere Bewertung überschreiben oder einen Einsteigerabschluss zu einer umfassenderen Qualifikation umdeuten. Bewahren Sie Kursversion, Kriterien und relevante Identitätsdaten so auf, wie sie bei Ausstellung des Zertifikats vorlagen. Wechselt die lernende Person später die Rolle, sollte das ursprüngliche Zertifikat als verständlicher historischer Nachweis erhalten bleiben.
Bewahren Sie auch nicht bestandene Versuche als Lernnachweise auf, statt nur das beste Ergebnis ohne Kontext anzuzeigen. Ein späteres Bestehen zeigt, dass die teilnehmende Person die Programmkriterien anschließend erfüllt hat. Frühere Schwierigkeiten bleiben dennoch für die Lernunterstützung relevant. Unternehmensadministratoren möchten möglicherweise Themen besprechen, bei denen wiederholt Fehler aufgetreten sind, oder eine zusätzliche Übung organisieren. Der Bericht sollte das Ergebnis korrekt wiedergeben, ohne einen nicht bestandenen ersten Versuch als Urteil über die allgemeine berufliche Kompetenz der Person zu verwenden.
Auffrischungskurse sollten eine eigene Versionsnummer und einen eigenen Verlauf der Abschlüsse haben. Ein vorgeschlagenes Überprüfungsdatum dient der Planung und ist nicht automatisch ein gesetzliches Ablaufdatum für ein Zertifikat. Wesentliche Änderungen können eine frühere Fortbildung erforderlich machen. Aufzeichnungen zu Workshops sollten von Abschlüssen aus Kursen mit Leistungsbewertung getrennt bleiben. Korrekturen sollten nachvollziehbar protokolliert werden. Lesen Sie, wie oft DORA-Schulungen erforderlich sind und wie regelmäßige Schulungen, die Anforderungen einer Rolle und anlassbezogene Aktualisierungen zusammenhängen.
5. Zeigen Sie dem Unternehmen, welche Schulungen noch offen sind
Wer für ein Unternehmen Schulungen einkauft, muss mehr wissen als nur, wie viele Zertifikate heruntergeladen wurden. Der Bericht sollte zeigen, wem welche Version zugewiesen wurde, was noch nicht abgeschlossen ist, wann die Frist endet und welches Ergebnis erzielt wurde. Zeigen Sie auch noch nicht absolvierte Module, damit erkennbar ist, ob jemand die Module zur Geschäftskontinuität oder Lieferantenüberwachung noch nicht erreicht oder bereits abgeschlossen hat und nur noch die Prüfung ablegen muss. Auch stornierte Zuweisungen und inaktive Mitgliedschaften sollten im Verlauf nachvollziehbar bleiben.
Verknüpfen Sie die Zertifikatskennung mit einem protokollierten bestandenen Versuch, anstatt den Browser aus dem lokalen Seitenstatus einen Erfolg melden zu lassen. Der Nachweis muss auf die Organisation begrenzt sein: Der Administrator eines Unternehmens darf Zertifikate oder schriftliche Antworten eines anderen Unternehmens nicht abrufen können. Lernende sollten ihre eigenen Nachweise erhalten können, ohne Zugriff auf private Lernbelege von Kollegen zu bekommen.
Unterscheiden Sie bei einer zugewiesenen Auffrischung zwischen einem Abschluss vor der Zuweisung und dem neuen Versuch, der nach der Zuweisung erwartet wird. Andernfalls kann ein früheres Bestehen dazu führen, dass eine neue Lernverpflichtung sofort als erfüllt erscheint. Bewahren Sie zugleich den früheren Nachweis auf, statt ihn zu löschen. Ein hilfreicher Unternehmensbericht unterstützt Entscheidungen über Unterstützung, Folgemaßnahmen und überfällige Aufgaben. Er sollte aus dem Gesamtanteil der Abschlüsse nicht die Aussage ableiten, dass die Organisation DORA-konform ist.
6. Unternehmenskontext und Workshops ehrlich dokumentieren
Ein Schulungsprogramm für Führungskräfte wird relevanter, wenn die Teilnehmenden es mit den Finanzdienstleistungen, Abhängigkeiten und dem Risikoprofil ihres Unternehmens verknüpfen. Ein Unternehmen kann den allgemeinen Kontext seiner Dienste dokumentieren und in Entscheidungsübungen nutzen. Nehmen Sie keine personenbezogenen Kundendaten, Zugangsdaten oder detaillierten Angaben zu ausnutzbaren Schwachstellen in Lernnotizen auf. Ziel ist es, Entscheidungen und Annahmen zu prüfen, nicht eine weitere unkontrollierte Ablage sensibler betrieblicher Informationen zu schaffen.
Erfassen Sie für einen optionalen Workshop Datum, Dauer, Moderation, Teilnehmende, Ziele, den Kontext der betroffenen Dienstleistung und wichtige Entscheidungen. Halten Sie offene Fragen, Verantwortliche für Folgemaßnahmen und die später erwarteten Nachweise fest. Wenn ein Unternehmensadministrator den Eintrag vornimmt, kennzeichnen Sie ihn als Bestätigung dieser Person. Der Eintrag sollte nicht automatisch zur Ausstellung des prüfungsbasierten Kurszertifikats der Academy führen oder den Eindruck erwecken, die Academy habe die Veranstaltung unabhängig beobachtet.
Korrekturen müssen klar nachvollziehbar bleiben. Wenn die Anwesenheit für die falsche Person eingetragen wurde, bewahren Sie einen begründeten Korrektur- oder Stornierungsnachweis auf und erstellen Sie den korrekten Eintrag im regulären Verfahren. Löschen Sie die Abweichung nicht stillschweigend. Prüfende sollten verstehen können, was geschehen ist, ohne jede Änderung als Fehlverhalten einstufen zu müssen. Ebenso kann ein abgeschlossener Workshop eine Kontrolllücke aufdecken, statt sie zu schließen. Halten Sie operative Abhilfemaßnahmen daher getrennt von dem Nachweis, dass die Teilnehmenden die Lücke besprochen haben.
7. Fragen an einen Anbieter von DORA-Schulungen
Bitten Sie den Anbieter, Ihnen vor dem Kauf eine tatsächliche Lektion, eine szenariobasierte Lernkontrolle und einen beispielhaften Nachweisexport zu zeigen. Prüfen Sie, ob die Schulung Entscheidungen des Leitungsorgans zu Risiken, Betriebskontinuität, Wiederherstellung des Betriebs, Ressourcen, Prüfungen und Vereinbarungen mit Drittanbietern behandelt. Allgemeine Sensibilisierungsschulungen für Mitarbeitende können nützliches Wissen vermitteln, haben aber nicht dasselbe Lernziel wie die Steuerung von IKT-Risiken. Klären Sie, für welche Zielgruppe das Produkt konzipiert ist und in welchen Bereichen zusätzliche unternehmensspezifische Arbeit erforderlich ist.
Fragen Sie, wie der Anbieter Dauer und Häufigkeit beschreibt. Drei Stunden können eine geschätzte Lernzeit einschließlich Übungen sein; sie sollten nicht als gesetzliche Mindestdauer dargestellt werden. Eine jährliche Auffrischung kann eine praktische Empfehlung sein; sie sollte nicht als allgemein gesetzlich vorgeschriebenes Intervall verkauft werden. Fragen Sie, wie wesentliche Änderungen zu aktualisierten Inhalten führen und wie die Plattform ältere Versionen aufbewahrt. Wenn ein Anbieter mit einer Akkreditierung wirbt, fragen Sie nach dem genauen Akkreditierungssystem und prüfen Sie unabhängig, was es abdeckt, statt sich auf ein allgemeines Gütesiegel zu verlassen.
Prüfen Sie zum Schluss, wie Nachweise im laufenden Betrieb erfasst und bereitgestellt werden. Können Ihre Administratoren die richtigen Personen zuweisen, noch nicht abgeschlossene Module sehen, Ergebnisse exportieren und die Zertifikatsversion feststellen? Können Lernende ihren eigenen Nachweis abrufen? Wird zwischen Workshop-Teilnahme und Prüfung unterschieden? Erklärt der Anbieter die Grenzen der automatisierten Bewertung? Diese Fragen helfen einzuschätzen, was das Zertifikat in der Praxis aussagt und ob das Produkt Ihre Unternehmenssteuerung unterstützt, statt lediglich ein weiteres Dokument in einem Ordner abzulegen.
8. Was BlueTeam Academy aufzeichnet
DORA-Cybersicherheitsschulung für Leitungsorgane und Führungskräfte umfasst acht Module mit jeweils einer schriftlichen Entscheidungsübung und einer Wissensüberprüfung zu Entscheidungen sowie eine szenariobasierte Prüfung mit 16 Fragen. Für den Abschluss müssen die Wissensüberprüfungen der Module absolviert und die schriftlichen Übungen eingereicht werden. Anschließend müssen in der Prüfung mindestens 80 % erreicht werden. Dies sind Kriterien der Academy. Für das angeleitete Lernen einschließlich Übungen und Prüfung werden etwa drei Stunden veranschlagt; das individuelle Lerntempo kann variieren.
Das Abschlusszertifikat hält die lernende Person, die Organisation, die angegebene berufliche Rolle, die Kursversion, die Lernziele, die Abschlussdaten der Module und das Prüfungsergebnis zum Zeitpunkt der Ausstellung fest. Schriftliche Antworten werden als Nachweise gespeichert, aber nicht automatisch auf fachliche Qualität geprüft. Der Server erstellt das Zertifikat nach einem bestandenen Versuch. Das druckbare Dokument kann über den Browser als PDF gespeichert werden. Der Nachweisexport stellt berechtigten Nutzern den zugrunde liegenden strukturierten Datensatz bereit.
Der Unternehmensbericht enthält außerdem zugewiesene Module, Lücken, Zertifikatskennungen, den Verlauf der Auffrischungen und Workshop-Aufzeichnungen. Der separate Auffrischungskurs hilft, Wissen aktuell zu halten; unternehmensspezifische Diskussionen fördern den Bezug zu den tatsächlichen Dienstleistungen. Die Aussagekraft ist dabei begrenzt: Die Aufzeichnung dokumentiert das Lernen und die Abschlusskriterien der Akademie. Sie ist weder eine EU-Akkreditierung noch eine Berufszulassung oder eine Feststellung, dass das Finanzunternehmen DORA einhält.
Fragen, die Führungskräfte stellen
Verlangen Artikel 5(4) oder 13(6) ein von der EU genehmigtes DORA-Schulungszertifikat?
Diese Bestimmungen nennen weder ein verpflichtendes Akkreditierungssystem noch ein vorgeschriebenes Zertifikat. Ein Anbieter kann nach seinen eigenen offengelegten Kriterien ein Abschlusszertifikat ausstellen. Der Käufer sollte Lehrplan, Prüfung, Rollenbezug und Nachweise prüfen und aus der Gestaltung oder dem Wortlaut des Dokuments nicht auf eine EU-Zulassung schließen.
Läuft ein Zertifikat nach zwölf Monaten ab?
Ein Programm kann ein Intervall für Auffrischungen oder Überprüfungen empfehlen. Das ist jedoch etwas anderes als die Behauptung, DORA lege für jede Schulungsbescheinigung eine allgemeine gesetzliche Gültigkeitsdauer von zwölf Monaten fest. Berücksichtigen Sie den geltenden Rahmen, die Erwartungen der Aufsicht, die Rolle, das Risiko und wesentliche Änderungen. Bewahren Sie das ursprüngliche Abschlussdatum und die Version auf und erfassen Sie spätere Lernaktivitäten gesondert.
Kann die Teilnahme an einem Workshop die szenariobasierte Prüfung ersetzen?
Im Academy-Programm ist die Workshop-Teilnahme vom bewerteten Kursabschluss getrennt und führt nicht automatisch zur Ausstellung eines Kurszertifikats. Ein Unternehmen kann Workshops nutzen, um das Lernen zu vertiefen und Begründungen zu überprüfen. Die Dokumentation sollte jedoch festhalten, was von wem und anhand welcher Kriterien beobachtet wurde. Bezeichnen Sie die bloße Teilnahme nicht als unabhängig bewertetes Ergebnis.
Quellen und weiterführende Informationen
Gesetzliche Grundlagen und Materialien der Aufsichtsbehörden. Die Praxisbeispiele und Vorlagen in diesem Leitfaden sind Vorschläge, keine aufsichtsrechtlich vorgeschriebenen Formulare.
- DORA: Bestimmungen zu Unternehmensführung und Schulungen
- EIOPA: Digital Operational Resilience Act
- EIOPA Q&A 250–3380: Proportionalität von Schulungen
Dieser Leitfaden dient der Schulung. Überprüfen Sie mit Ihrem Rechts- und Compliance-Team den Geltungsbereich, anzuwendenden Rahmen und aufsichtsrechtliche Anforderungen für Ihr Unternehmen.
