Die Kurzantwort
Artikel 5(4) von DORA verlangt, dass Mitglieder des Leitungsorgans ihre Kenntnisse und Fähigkeiten zu IKT-Risiken durch regelmäßige, gezielte Schulungen aktuell halten. Die Schulungen müssen dem zu steuernden Risiko angemessen sein. Ein allgemeingültiger jährlicher Turnus ist nicht vorgegeben. Wählen Sie einen dokumentierten Lernzyklus, berücksichtigen Sie die geltenden aufsichtlichen Erwartungen und reagieren Sie auf wesentliche Veränderungen, bevor die nächste reguläre Auffrischung ansteht.
1. Was die Schulungsregelungen tatsächlich verlangen
DORA gilt seit dem 17. Januar 2025. Klären Sie zunächst, inwieweit Ihr Finanzunternehmen in den Anwendungsbereich fällt und welcher Rahmen gilt. Im allgemeinen Rahmen betrifft Artikel 5(4) die Fähigkeit des Leitungsorgans, IKT-Risiken und ihre Auswirkungen auf den Betrieb zu verstehen und zu bewerten. Ziel sind aktuelles Wissen und fundiertes Urteilsvermögen – nicht, alle zwölf Monate denselben Foliensatz durchzuarbeiten. Der Wortlaut der Bestimmung legt kein allgemeingültiges Kalenderintervall fest.
Artikel 13(6) behandelt verpflichtende Maßnahmen zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz für Beschäftigte und das höhere Management. Ihre Komplexität muss zum Aufgabenbereich der jeweiligen Funktionen passen; relevante IKT-Dienstleister werden gegebenenfalls einbezogen. Für Unternehmen, die die Voraussetzungen für das vereinfachte Rahmenwerk nach Artikel 16 erfüllen und es anwenden, gelten andere Bestimmungen, darunter bedarfsorientierte Schulungen für Beschäftigte und das Management nach Artikel 16(1)(h). Betrachten Sie die Bestimmung für das Leitungsorgan nicht als die maßgebliche Rechtsgrundlage für alle Lernenden oder Unternehmen.
Diese Unterschiede sind bei der Erstellung eines Schulungskalenders wichtig. Ein Mitglied des Leitungsorgans, eine für die Vorfallkoordination zuständige Person und ein Mitarbeiter im Kundendienst benötigen nach demselben Ausfall möglicherweise alle eine Schulung. Sie müssen jedoch unterschiedliche Entscheidungen treffen und benötigen unterschiedlich viele Details. Eine gemeinsame Informationsveranstaltung kann mehrere Bedürfnisse abdecken; daraus ergibt sich keine Pflicht, separate Angebote zu kaufen. Lesen Sie unseren Leitfaden zu Schulungsanforderungen für das Leitungsorgan vor der Ableitung konkreter Beschaffungsanforderungen aus einer gesetzlichen Pflicht.
2. Eine jährliche Auffrischung ist eine Entscheidung bei der Programmgestaltung
Eine jährliche Auffrischungsschulung kann eine verlässliche Grundlage für die Planung, die Nachbereitung der Einarbeitung und das Budget bieten. Sie kann auch ein sinnvoller Anlass für das Leitungsorgan sein, seine Lernprioritäten zu überprüfen. Wer dieses Intervall jedoch als das einzige nach DORA zulässige bezeichnet, verwechselt die Produktgestaltung eines Anbieters mit dem Wortlaut der Verordnung. Erläutern Sie die Wahl, ihre Begründung und die Ereignisse, durch die Schulungen vorgezogen werden können.
Auch weitere aufsichtsrechtliche Erwartungen können in die Entscheidung einfließen. So behandeln die veröffentlichten Erwartungen der EZB zu bewährten Verfahren für die IKT- und Sicherheitskompetenz der Leitungsorgane von Banken jährliche Schulungen. Für betroffene Banken ist dies ein relevanter Kontext, aber keine Grundlage für die Behauptung, dieselbe Regel gelte für jedes Finanzunternehmen in gleicher Weise. Das Compliance-Team sollte neben dem DORA-Rahmenwerk auch die anwendbaren aufsichtsrechtlichen Veröffentlichungen und nationalen Anforderungen ermitteln.
Bei BlueTeam Academy ist die jährliche Auffrischung eine Planungsempfehlung. Administratoren können anhand der Rollen und des Risikoprofils des Unternehmens ein anderes Überprüfungsintervall festlegen. Diese Einstellung legt fest, wann intern eine Überprüfung erwartet wird; sie besagt nicht, dass ein bestimmtes Intervall sämtliche Verpflichtungen erfüllt. Das Leitungsorgan sollte erklären können, warum der gewählte Zyklus sinnvoll ist, welche Informationen es berücksichtigt hat und wer die Entscheidung bei einer veränderten Risikolage erneut prüft. Ein Kalender ohne diese Begründung ist kein guter Ersatz für einen Lernplan.
3. Legen Sie fest, welche Ereignisse eine vorgezogene Schulung auslösen
Ein regelmäßiges Programm sollte ein Verfahren für Änderungen vorsehen, die zwischen geplanten Terminen eintreten. Beispiele sind die Einführung eines wichtigen Dienstes, eine veränderte Abhängigkeit von Cloud-Diensten oder der Identitätsverwaltung, eine Unternehmensübernahme, ein wesentlicher Vorfall, eine wiederkehrende Prüfungsfeststellung oder die Übernahme einer neuen Rolle durch ein Mitglied des Leitungsorgans. Entscheidend ist, ob das Ereignis das Wissen oder die Entscheidungen verändert, die von den Betroffenen erwartet werden. Nicht jede technische Änderung erfordert eine Schulung des Leitungsorgans, doch wesentliche Änderungen müssen fundiert bewertet werden.
Betrachten Sie ein Zahlungsunternehmen, das seine Wiederherstellungsumgebung auf dieselbe Cloud-Plattform wie seinen primären Dienst verlagert. Das Leitungsorgan hat zwei Monate zuvor ein Modul zur Betriebskontinuität abgeschlossen. Wird die neue Konzentration erst in weiteren zehn Monaten besprochen, verlassen sich seine Mitglieder möglicherweise auf eine Annahme zur Wiederherstellung, die nicht mehr zutrifft. Eine gezielte Unterrichtung und eine Entscheidungsübung können diese Lücke schließen, ohne das gesamte Programm zu wiederholen.
Erfassen Sie Schulungsanlässe mit wenigen Angaben: Änderung, betroffener Dienst, betroffene Rollen, Lernbedarf, vorgeschlagene Maßnahme, Verantwortlicher und Abschlussnachweis. Verknüpfen Sie dies mit dem regulären Risiko- oder Änderungsmanagement, statt sich darauf zu verlassen, dass jemand an den Schulungskalender denkt. Berücksichtigen Sie nach einem Vorfall neben der technischen Ursache auch Erkenntnisse zu Entscheidungen und Eskalation. Ein neues Verfahren hilft nur, wenn die Anwender verstehen, was sie anders tun müssen.
4. Planen Sie nach Rollen und Finanzdienstleistungen
Ein nützlicher Plan beginnt mit den Personen und Diensten, für die das Unternehmen verantwortlich ist. Ermitteln Sie die Mitglieder des Leitungsorgans und ihre Überwachungsaufgaben. Erfassen Sie die Verantwortlichkeiten der oberen Führungsebene und die operativen Rollen, die gezielte Sensibilisierung oder besondere Fähigkeiten zur Stärkung der Resilienz benötigen. Verknüpfen Sie diese Verantwortlichkeiten anschließend mit Diensten, wichtigen Daten, IKT-Abhängigkeiten und vorhersehbaren Störungen. So entsteht ein besser begründeter Plan, als wenn jedem Konto im Verzeichnis dieselben Inhalte zugewiesen werden.
Für das Leitungsorgan kann das Lernergebnis darin bestehen, Risikobereitschaft, Investitionen, Nachweise zur Wiederherstellung des Betriebs und wesentliche Risiken aus Anbieterabhängigkeiten kritisch hinterfragen zu können. Für eine Person, die Vorfälle koordiniert, kann es die zuverlässige Einstufung, Eskalation und Koordination nach den genehmigten Verfahren des Unternehmens sein. Für Beschäftigte, die Kundenanweisungen bearbeiten, kann es darin bestehen, ein vermutetes Integritätsproblem frühzeitig zu erkennen und zu melden. Diese Ergebnisse hängen zusammen, aber ein Test zur sicheren Passwortnutzung allein belegt keine Urteilsfähigkeit auf Ebene des Leitungsorgans zu Wiederherstellung oder Ressourcen.
Wählen Sie eine angemessene Vertiefung. Eine Führungskraft, die für einen Dienst mit komplexen Abhängigkeiten von gemeinsam genutzten Ressourcen verantwortlich ist, benötigt möglicherweise ausführlichere Szenarioübungen, als ein einführender Überblick bietet. Dokumentieren Sie, wo die gemeinsamen Grundlagen enden und eine organisationsspezifische Einweisung oder ein entsprechender Workshop beginnt. Ist der rechtliche Rahmen noch nicht bestätigt, halten Sie dies als offenen Punkt mit einer zuständigen Person fest. Erwecken Sie nicht den Eindruck, die Standardeinstellung des Lernsystems sei eine rechtliche Festlegung des Geltungsbereichs.
5. Ein Praxiszyklus von der Einführung bis zur Auffrischung
Ein praktikables Konzept beginnt mit einer Einführung. Darauf folgen gemeinsame Grundlagen für Führungskräfte, eine Besprechung der tatsächlichen Dienstleistungen des Unternehmens und eine fest eingeplante Überprüfung von Änderungen. Die gemeinsamen Grundlagen vermitteln Begriffe und Entscheidungsmethoden. In der unternehmensbezogenen Besprechung wird geprüft, ob sich diese Methoden auf das tatsächliche Konzept zur Wiederherstellung des Betriebs, die Lieferkette und die Governance-Regelungen anwenden lassen. Bei der regelmäßigen Überprüfung geht es anschließend darum, was sich geändert hat und für welche früheren Annahmen neue Nachweise erforderlich sind.
Ein neu bestelltes Mitglied des Leitungsorgans könnte beispielsweise ein Schulungsprogramm für dieses Gremium absolvieren, an einer Einweisung zu den Diensten teilnehmen und die Fragen festhalten, die das Management beantworten soll. Das Sekretariat des Leitungsorgans oder die für das Lernen verantwortliche Person könnte den Fortschritt anhand der vereinbarten Termine überprüfen. Bei der nächsten geplanten Überprüfung könnte das Mitglied Änderungen seiner Zuständigkeiten und ungelöste Risikofragen prüfen und anschließend eine Auffrischungsschulung oder eine gezielte Übung absolvieren. Die genaue zeitliche Planung sollte sich nach dem Bedarf des Unternehmens und den geltenden Erwartungen richten; diese beispielhafte Abfolge ist kein verbindlicher Zeitplan.
Verknüpfen Sie die Lernaktivitäten miteinander. Wenn ein Workshop eine noch nicht getestete Abhängigkeit bei der Wiederherstellung aufzeigt, sollten daraus eine Maßnahme und eine spätere Anforderung von Nachweisen hervorgehen. Bei der nächsten Auffrischung sollte geprüft werden, ob diese Maßnahme die Leistungsfähigkeit des Dienstes verändert hat. So wird Lernen zu einem fortlaufenden Aufsichtsprozess. Das hilft auch Unternehmen beim Kurseinkauf: Sie können einen Kurs danach beurteilen, welche Entscheidungen er unterstützt, statt nur nach der Anzahl der Videos, der Gestaltung eines Zertifikats oder der Verwendung des Wortes Compliance durch den Anbieter.
6. Lernfortschritt und verbleibende Lücken aufzeichnen
Bewahren Sie für jede lernende Person Angaben zu Identität, Organisation, beruflicher Rolle, zugewiesenen Modulen, Kursversion und Abschlussdaten auf. Erfassen Sie Prüfungsergebnisse und die Kennung eines gegebenenfalls ausgestellten Abschlusszertifikats. Halten Sie den Verlauf der Auffrischungen und die Nachweise zu Unternehmensworkshops getrennt vom Hauptkurs erkennbar. Ein geänderter Kurstitel sollte nicht stillschweigend die Aussage eines früheren Abschlussnachweises verändern.
Der Unternehmensbericht sollte Lücken ebenso wie Erfolge zeigen: Personen, die noch nicht begonnen haben, nicht abgeschlossene Module, nicht bestandene oder ausstehende Prüfungen, überfällige Zuweisungen und Folgemaßnahmen. Eine prozentuale Abschlussquote kann verschleiern, dass die für eine kritische Dienstleistung verantwortlichen Mitglieder des Leitungsorgans die einschlägigen Schulungen nicht abgeschlossen haben. Nutzen Sie den Bericht, um zu entscheiden, wer Unterstützung oder eine andere Lernaktivität benötigt; behandeln Sie ihn nicht als Kennzahl für die Einhaltung regulatorischer Anforderungen.
Nachweise haben Grenzen. Die Verweildauer auf einer Seite belegt kein Verständnis. Eine Prüfung mit vorgegebenen Antwortmöglichkeiten überprüft ausgewählte Entscheidungen; sie belegt nicht die Kompetenz für jeden realen Vorfall. Schriftliche Begründungen und moderierte Diskussionen können Annahmen offenlegen. Die Aufzeichnung sollte jedoch festhalten, ob diese Antworten tatsächlich geprüft wurden. Wenn ein Unternehmensadministrator die Workshop-Teilnahme erfasst, kennzeichnen Sie dies als Bestätigung durch den Administrator. Lesen Sie unseren Leitfaden zu DORA-Schulungszertifikaten zur Unterscheidung zwischen Abschlussnachweisen und unbelegten Zertifizierungsversprechen.
7. Beispiel: Ein Leitungsorgan reagiert auf eine veränderte Cloud-Abhängigkeit
Ein fiktiver Versicherer plant für November eine regelmäßige Auffrischungsschulung für Führungskräfte. Im März führt ein Anbieterwechsel dazu, dass zwei kundenorientierte Dienste von derselben Plattform für die Identitätsverwaltung abhängen. Im April werden bei einer Wiederherstellungsübung Daten erfolgreich wiederhergestellt, der Ausfall dieser Plattform wird jedoch nicht getestet. Die schulungsverantwortliche Person erkennt, dass Mitglieder des Leitungsorgans die beiden Dienstleistungsverträge als Beleg für eine voneinander unabhängige Wiederherstellung verstehen könnten. Die Wissenslücke besteht in einer falschen Annahme über gemeinsame Abhängigkeiten.
Das Unternehmen organisiert eine kurze Einführung in die Dienstleistung und eine Übung für das Leitungsorgan, bevor es die Entscheidung über die Verlängerung genehmigt. Die Teilnehmenden stellen die gemeinsam genutzte Abhängigkeit dar, hinterfragen die geschätzte Wiederherstellungsdauer und ermitteln die benötigten Nachweise. Das Protokoll hält Datum, Rollen, Szenario, Entscheidungen und offene Maßnahmen fest. Das technische Team ist für einen repräsentativen Wiederherstellungstest verantwortlich; die fachlich verantwortliche Person ist für die Entscheidung über das Restrisiko zuständig. Das Lernen ersetzt keine dieser Verantwortlichkeiten.
Im November greift die Auffrischungsschulung das Ergebnis dieses Tests und die früheren Fragen des Leitungsorgans auf. Besteht das Risiko weiterhin, wird dies im Bericht ausdrücklich benannt. Der Abschluss der Auffrischungsschulung macht aus einer unwirksamen Kontrolle keine wirksame. Das Beispiel zeigt, warum regelmäßige Termine und ereignisbezogenes Lernen zusammengehören: Der Zeitplan schafft Kontinuität, während Veränderungen als Lernanlass dafür sorgen, dass das Wissen für Entscheidungen aktuell bleibt, die nicht warten können.
8. Übernehmen Sie den Plan in den Unternehmensarbeitsbereich
Nutzen Sie den Kurs DORA-Cybersicherheitsschulung für Leitungsorgane und Führungskräfte als gemeinsames Schulungsprogramm für Führungskräfte und ergänzen Sie es um Ihren Unternehmenskontext. Das Kernprogramm der Academy umfasst acht Module mit schriftlichen Entscheidungsübungen und einer szenariobasierten Prüfung. Die geschätzte Dauer für das angeleitete Selbststudium einschließlich der Übungen beträgt etwa drei Stunden; dies ist weder eine gesetzliche Mindestdauer noch eine Garantie dafür, dass der Umfang für jede Rolle ausreicht.
Der separate Auffrischungskurs für das Leitungsorgan unterstützt die Überprüfung geänderter Zuständigkeiten, der Annahmen zur Wiederherstellung und der Erkenntnisse aus der Zusammenarbeit mit Lieferanten oder aus Audits. Administratoren können ihn den betreffenden Personen zuweisen und seinen Abschluss getrennt vom ursprünglichen Programm verfolgen. In den Protokollen unternehmensinterner Workshops können nach einer Sitzung die moderierende Person, Teilnehmende, Ziele und Entscheidungen festgehalten werden. Verfolgen Sie noch offene operative Maßnahmen auch in Ihren regulären Steuerungs- und Kontrollprozessen weiter und dokumentieren Sie die daraus gewonnenen Lernerkenntnisse.
Lassen Sie vor der Verabschiedung des Plans die Verantwortlichen für Lernen, Risikomanagement und Compliance dessen Umfang abstimmen. Legen Sie fest, wer den Kalender pflegt, wer Berichte über Fristüberschreitungen erhält, was eine gezielte Aktualisierung auslöst und wie bei der nächsten Überprüfung festgestellt wird, ob sich das Verständnis verbessert hat. Diese klaren Zuständigkeiten sind wertvoller, als lediglich einen wiederkehrenden Termin festzulegen.
Fragen, die Führungskräfte stellen
Bedeutet regelmäßig einmal pro Jahr?
Die DORA-Bestimmungen zu Schulungen legen kein einheitliches jährliches Intervall fest. Eine jährliche Auffrischung ist für viele Organisationen eine sinnvolle Wahl bei der Programmgestaltung; einschlägige aufsichtliche Erwartungen können zusätzlichen Kontext liefern. Dokumentieren Sie die Grundlage Ihres Zeitplans, berücksichtigen Sie die Rollen der Teilnehmenden und das IKT-Risiko und legen Sie fest, wie wesentliche Änderungen frühere Schulungen auslösen. Stellen Sie den regulären Verlängerungstermin eines Anbieters nicht als ausdrücklichen Wortlaut der Verordnung dar.
Muss der gesamte Kurs nach jeder Änderung wiederholt werden?
Diese Vorschriften enthalten keine allgemeine Regel, nach der nach jeder Änderung derselbe Kurs erneut absolviert werden muss. Prüfen Sie, ob die Änderung das Wissen, die Fähigkeiten oder die Entscheidungen in der jeweiligen Rolle betrifft. Eine gezielte Unterweisung, eine Szenarioübung oder ein aktualisiertes Modul kann die Lücke unter Umständen direkter schließen. Bewahren Sie den bisherigen Kursnachweis auf und dokumentieren Sie die neue Lernaktivität separat, einschließlich ihres Zwecks und etwaiger Folgemaßnahmen.
Beweist eine absolvierte Auffrischungsschulung, dass das Unternehmen DORA-konform ist?
Nein. Es belegt eine Lernaktivität und, sofern eine Prüfung stattgefunden hat, das dokumentierte Prüfungsergebnis. Die Einhaltung der Vorschriften durch eine Organisation umfasst die geltenden Governance-Anforderungen, Kontrollen und weitergehenden Pflichten. Ein belastbarer Lernnachweis hält fest, welche Inhalte vermittelt und geprüft wurden, welche Version verwendet wurde und welche Punkte noch offen sind. Er sollte eine fundierte Aufsicht unterstützen und nicht als Ersatz dafür beworben werden.
Quellen und weiterführende Informationen
Gesetzliche Grundlagen und Materialien der Aufsichtsbehörden. Die Praxisbeispiele und Vorlagen in diesem Leitfaden sind Vorschläge, keine aufsichtsrechtlich vorgeschriebenen Formulare.
- DORA: Artikel 5, 13 und 16
- EIOPA Q&A 250–3380: Schulung und Proportionalität
- EZB: Erwartungen an die IKT- und Sicherheitskompetenz der Leitungsorgane von Banken
Dieser Leitfaden dient der Schulung. Überprüfen Sie mit Ihrem Rechts- und Compliance-Team den Geltungsbereich, anzuwendenden Rahmen und aufsichtsrechtliche Anforderungen für Ihr Unternehmen.
