Die Kurzantwort
DORA Artikel 5(4) verlangt, dass Mitglieder des Leitungsorgans ihre IKT-Risiko-Kenntnisse und -Fähigkeiten durch regelmäßige, spezifische Schulungen entsprechend dem zu managenden Risiko aktuell halten. Es ist kein allgemeiner jährlicher Turnus vorgegeben. Wählen Sie einen dokumentierten Lernzyklus, berücksichtigen Sie relevante aufsichtsrechtliche Erwartungen und reagieren Sie auf wesentliche Veränderungen vor dem nächsten turnusmäßigen Training.
1. Was die Schulungsregelungen tatsächlich verlangen
DORA gilt seit dem 17. Januar 2025. Beginnen Sie mit dem Anwendungsbereich des Finanzinstituts und dem geltenden Rahmenwerk. Im allgemeinen Rahmen bezieht sich Artikel 5(4) auf die Fähigkeit des Leitungsorgans, IKT-Risiken und ihre Auswirkungen auf den Betrieb zu verstehen und zu bewerten. Ziel ist aktuelles Wissen und informierte Beurteilung – nicht, jedes Jahr das gleiche Folienset zu absolvieren. Die Bestimmung nennt kein universelles Kalenderintervall.
Artikel 13(6) sieht verpflichtende IKT-Sicherheitsaufklärung und digitale Resilienzschulung für Beschäftigte und Führungskräfte vor. Die Komplexität muss zum Aufgabenbereich passen, mit relevanten IKT-Dienstleistern, wo erforderlich. Berechtigte Unternehmen, die das vereinfachte Rahmenwerk nach Artikel 16 nutzen, haben eigene Bestimmungen, darunter bedarfsgerechte Schulungen für Mitarbeitende und Management in Artikel 16(1)(h). Behandeln Sie die Vorstandsregelung nicht als universelle Rechtsgrundlage für jedes Unternehmen oder jede Person.
Diese Unterschiede sind bei der Erstellung eines Lernkalenders wichtig. Ein Vorstand, ein Incident-Koordinator und ein Kundendienstmitarbeiter müssen nach demselben Ausfall vielleicht alle etwas lernen, benötigen aber unterschiedliche Entscheidungen und Detailstufen. Eine gemeinsame Besprechung kann verschiedene Anforderungen unterstützen; einzelne kommerzielle Zukäufe sind dadurch nicht vorgeschrieben. Lesen Sie die Leitfaden zu Schulungsanforderungen für das Board bevor eine rechtliche Verpflichtung zur Beschaffungsanforderung wird.
2. Ein jährliches Update ist eine Programmwahl
Ein jährliches Update kann eine planbare Grundlage für Planung, Einarbeitung und Budget schaffen. Es kann auch den richtigen Moment für Vorstands-Priorisierungen markieren. Aber dieses Intervall als einzig durch DORA erlaubte Option zu bezeichnen, vermischt Produktgestaltung eines Anbieters mit dem Wortlaut der Regulierung. Erklären Sie die Wahl, deren Begründung und die Ereignisse, die ein Vorziehen des Lernens rechtfertigen können.
Weitere aufsichtsrechtliche Erwartungen können die Entscheidung beeinflussen. Zum Beispiel werden in den veröffentlichten Erwartungen der EZB an Bankvorstände in Bezug auf IKT- und Sicherheitskompetenz jährliche Weiterbildungen thematisiert. Dies ist ein relevanter Kontext für betroffene Banken, aber keine Grundlage, um dieselbe Regel auf jede Finanzinstitution gleich anzuwenden. Das Compliance-Team sollte relevante aufsichtsrechtliche Dokumente und nationale Anforderungen neben dem DORA-Rahmenwerk identifizieren.
Bei der BlueTeam Academy ist die jährliche Auffrischung eine Planungsempfehlung. Administratoren können je nach Rollen und Risikoprofil des Unternehmens ein anderes Überprüfungsintervall festlegen. Diese Einstellung legt eine interne Überprüfungserwartung fest; sie besagt nicht, dass ein bestimmter Zeitraum alle Verpflichtungen erfüllt. Ein Vorstand sollte erklären können, warum der gewählte Zyklus sinnvoll ist, welche Informationen berücksichtigt wurden und wer die Entscheidung überprüft, falls sich die Exposition ändert. Ein Kalender ohne diese Begründung ist ein schwacher Ersatz für einen Lernplan.
3. Definieren Sie Ereignisse, die frühzeitiges Lernen auslösen
Ein regelmäßiges Programm sollte eine Vorgehensweise für Änderungen vorsehen, die zwischen geplanten Sitzungen eintreten. Dazu gehören die Einführung eines wichtigen Dienstes, Änderungen an einer Cloud- oder Identitätsabhängigkeit, eine Firmenübernahme, ein wesentlicher Vorfall, ein wiederkehrender Audit-Befund oder ein Direktor in neuer Funktion. Entscheidend ist, ob das Ereignis das erforderliche Wissen oder die Entscheidungen der Betroffenen verändert. Nicht jede technische Änderung benötigt eine Vorstandsschulung, doch erhebliche Änderungen bedürfen einer begründeten Bewertung.
Betrachten Sie eine Zahlungsorganisation, die ihre Wiederherstellungsumgebung auf dieselbe Cloud-Plattform wie ihren Primärservice verlagert. Der Vorstand hat vor zwei Monaten ein Kontinuitätsmodul abgeschlossen. Noch zehn Monate zu warten, um die neue Konzentration zu besprechen, kann dazu führen, dass die Direktoren auf einer Wiederherstellungsannahme beruhen, die nicht mehr zutrifft. Eine gezielte Information und eine Entscheidungsübung können diese Lücke schließen, ohne das gesamte Programm zu wiederholen.
Create a simple trigger record: the change, affected service, roles concerned, learning need, proposed activity, owner and completion evidence. Connect it to the normal risk or change-governance process so that it is not dependent on somebody remembering the training calendar. After an incident, use the lessons about decisions and escalation as well as the technical cause. A new procedure matters only if the people expected to use it understand what they must do differently.
4. Planen Sie nach Rollen und Finanzdienstleistungen
Ein nützlicher Plan beginnt mit den Personen und Diensten, für die die Einheit verantwortlich ist. Identifizieren Sie Mitglieder des Leitungsorgans und deren Überwachungsaufgaben. Ordnen Sie Verantwortlichkeiten von Führungskräften und die operativen Rollen zu, die spezielles Bewusstsein oder Resilienz benötigen. Verknüpfen Sie anschließend diese Aufgaben mit Diensten, wichtigen Daten, ICT-Abhängigkeiten und vorhersehbaren Störungen. So entsteht ein besser begründeter Plan, als für jedes Verzeichnis-Konto denselben Inhalt zuzuweisen.
Für das Gremium kann das Ergebnis darin bestehen, die Risikobereitschaft, Investitionen, Wiederherstellungsnachweise und Lieferantenrisiken kritisch zu hinterfragen. Für eine(n) Vorfallkoordinator(in) kann es zuverlässige Einstufung, Eskalation und Koordination nach den genehmigten Verfahren bedeuten. Für Kolleginnen und Kollegen, die Kundenanweisungen bearbeiten, kann es bedeuten, einen mutmaßlichen Integritätsvorfall rasch zu erkennen und zu melden. Diese Ergebnisse hängen zusammen, aber ein Test zu Passwortverhalten allein belegt keine Urteilsfähigkeit des Gremiums zu Ressourcen oder Wiederherstellung.
Nutzen Sie angemessene Tiefe. Ein Verantwortlicher für einen Service mit komplexen Abhängigkeiten benötigt womöglich detailliertere Szenarioarbeit als eine Basiseinführung bietet. Dokumentieren Sie, wo das gemeinsame Kernwissen endet und ein unternehmensspezifisches Briefing oder Workshop beginnt. Ist der Rechtsrahmen noch unklar, dokumentieren Sie das als offenen Punkt mit Verantwortlichem. Lassen Sie nicht den Standardwert des Lernsystems wie eine rechtsverbindliche Festlegung des Geltungsbereichs erscheinen.
5. Ein Praxiszyklus von der Einführung bis zur Auffrischung
Ein funktionales Konzept beginnt mit einer Einweisung, gefolgt von einem gemeinsamen Führungskern, einer Diskussion der tatsächlichen Dienste und einer geplanten Überprüfung der Änderungen. Der gemeinsame Kern vermittelt Begriffe und Entscheidungswege. Die Unternehmensdiskussion prüft, ob diese Methoden auf das reale Wiederherstellungsdesign, die Lieferkette und Governance-Strukturen passen. Die regelmäßige Überprüfung fragt, was sich geändert hat und welche Annahmen neue Nachweise benötigen.
Als Beispiel kann ein neu bestelltes Vorstandsmitglied ein Board-Programm absolvieren, an einer Service-Einweisung teilnehmen und die Management-Fragen dokumentieren, die es beantwortet haben möchte. Die Unternehmenssekretärin/der Unternehmenssekretär oder der Lernverantwortliche kann den Fortschritt gegen die vereinbarten Termine überprüfen. Bei der nächsten geplanten Überprüfung kann das Vorstandsmitglied Änderungen der Zuständigkeit und offene Risiken einsehen und ein Update oder eine gezielte Übung absolvieren. Die genaue Taktung soll sich am Bedarf und den Erwartungen der Organisation orientieren – dieses Beispiel ist keine verbindliche Zeitvorgabe.
Halten Sie Aktivitäten verknüpft. Ein Workshop, der eine ungetestete Wiederherstellungsabhängigkeit identifiziert, muss eine Maßnahme und einen zukünftigen Belegnachweis erzeugen. Die nächste Auffrischung prüft, ob diese Maßnahme den Service verändert hat. So wird Lernen zur laufenden Aufsicht. Es hilft auch einem Unternehmenskäufer, einen Kurs anhand der getroffenen Entscheidungen zu bewerten, nicht rein nach Videomenge, Zertifikatsdauer oder dem Gebrauch des Begriffs Compliance.
6. Lernfortschritt und verbleibende Lücken aufzeichnen
Für jede(n) Lernende(n) bewahren Sie Identität, Organisation, berufliche Rolle, zugewiesene Module, Kursversion und Abschlussdaten auf. Erfassen Sie Bewertungsergebnisse sowie die Kennung eines etwaigen Abschlusszertifikats. Halten Sie Auffrischungs-Historie und Workshop-Teilnahmen des Unternehmens unterscheidbar zum Hauptkurs. Eine geänderte Kursbezeichnung sollte die Bedeutung eines früheren Abschlusses nicht stillschweigend überschreiben.
Der Unternehmensbericht sollte Lücken ebenso wie Erfolge abbilden: Personen, die noch nicht begonnen haben, unvollständige Module, nicht bestandene oder ausstehende Bewertungen, überfällige Aufgaben und Nachverfolgungen. Ein Erfüllungsprozentsatz kann verschleiern, dass die für einen kritischen Service verantwortlichen Direktoren das entsprechende Training nicht absolviert haben. Nutzen Sie den Bericht, um zu entscheiden, wer Unterstützung oder eine andere Maßnahme benötigt; vermeiden Sie, ihn als Compliance-Quote zu verwenden.
Beweismittel haben Grenzen. Die Verweildauer auf einer Seite belegt kein Verständnis. Eine Auswahlprüfung testet Einzelentscheidungen, aber nicht die Kompetenz in jedem realen Vorfall. Schriftliches Argumentieren und moderierte Diskussionen können Annahmen offenlegen, aber der Nachweis sollte festhalten, ob diese überhaupt überprüft wurden. Zeichnet ein Administrator die Teilnahme an Workshops auf, kennzeichnen Sie das als Administratorenbestätigung. Siehe unser Leitfaden zu DORA-Trainingszertifikaten für eine praxisnahe Grenze zwischen Nachweisen zum Abschluss und nicht belegten Zertifizierungsansprüchen.
7. Beispiel: Ein Vorstand reagiert auf geänderte Cloud-Abhängigkeit
Ein fiktiver Versicherer plant im November eine Routine-Schulung für Führungskräfte. Im März führt ein Anbieterwechsel dazu, dass zwei kundennahe Dienste von der gleichen Identitätsplattform abhängen. Im April stellt eine Wiederherstellungsübung erfolgreich Daten wieder her, testet aber keinen Verlust dieser Plattform. Die Verantwortlichen für die Schulung erkennen, dass Direktoren die beiden Dienstverträge als Beweis unabhängiger Wiederherstellung verstehen könnten. Die Lernlücke ist eine falsche Annahme über gemeinsame Abhängigkeiten.
Die Organisation veranlasst eine kurze Service-Besprechung und eine Vorstandssimulation vor der Genehmigung der Verlängerungsentscheidung. Die Teilnehmenden kartieren die gemeinsame Abhängigkeit, hinterfragen die Erholungsschätzung und identifizieren benötigte Nachweise. Das Protokoll hält Datum, Rollen, Szenario, Entscheidungen und offene Maßnahmen fest. Das Technikteam besitzt einen repräsentativen Wiederherstellungstest; der Geschäftsverantwortliche verantwortet die Rest-Risiko-Entscheidung. Das Lernen ersetzt keine dieser Verantwortlichkeiten.
Im November greift die Wiederholungsschulung das Ergebnis dieses Tests und die früheren Fragen des Vorstands auf. Bleibt das Risiko ungelöst, wird dies auch so berichtet. Das Abschließen der Wiederholungsschulung macht aus einer nicht funktionierenden Maßnahme keine funktionierende. Das Beispiel zeigt, warum regelmäßige Termine und ereignisgesteuertes Lernen zusammengehören: Der Kalender schafft Kontinuität, der Auslöser hält Wissen für unabdingbare Entscheidungen aktuell.
8. Plan ins Unternehmensarbeitsbereich übernehmen
Verwendung DORA Board & Executive Training als zentrales Leadership-Programm, ergänzen Sie dann Ihren Unternehmenskontext. Das Kernprogramm der Academy umfasst acht Module mit schriftlichen Entscheidungsübungen und einem Szenario-Assessment. Etwa drei Stunden sind als Richtwert für Selbststudium und Übungen angelegt; das ist weder ein gesetzliches Minimum noch eine Garantie für die Eignung jeder Funktion.
Das separate Board-Update unterstützt eine Überprüfung geänderter Zuständigkeiten, Wiederherstellungsannahmen und Erkenntnisse von Lieferanten oder Audits. Administratoren können es den relevanten Personen zuweisen und seinen Abschluss unabhängig vom ursprünglichen Programm verfolgen. Protokolle von Unternehmensworkshops können nach einer Sitzung Moderatorin, Teilnehmende, Ziele und Beschlüsse identifizieren. Nicht gelöste operative Maßnahmen sollten im normalen Governance-Prozess weiterverfolgt und die daraus gewonnenen Erkenntnisse dokumentiert werden.
Vor Einführung des Plans sollten die verantwortlichen Mitarbeitenden für Lernen, Risiko und Compliance den Geltungsbereich abstimmen. Klären Sie, wer den Kalender pflegt, wer überfällige Berichte erhält, was eine gezielte Aktualisierung auslöst und wie die nächste Überprüfung bewertet, ob das Verständnis sich verbessert hat. Diese Zuordnung ist wertvoller als nur einen festen Terminzyklus festzulegen.
Fragen, die Führungskräfte stellen
Bedeutet regelmäßig einmal pro Jahr?
Die DORA-Trainingsvorgaben definieren kein einheitliches jährliches Intervall. Eine jährliche Auffrischung ist für viele Organisationen eine sinnvolle Programmentscheidung; einschlägige aufsichtsrechtliche Erwartungen können zusätzlichen Kontext geben. Dokumentieren Sie die Grundlage Ihres Plans, berücksichtigen Sie die Rollen der Mitarbeitenden sowie das IKT-Risiko und definieren Sie, wie materielle Veränderungen frühere Schulungen auslösen. Beschreiben Sie das Standard-Verlängerungsdatum eines Anbieters nicht als gesetzliche Formulierung.
Muss der gesamte Kurs nach jeder Änderung wiederholt werden?
Keine universelle Regel in diesen Vorschriften verlangt, nach jeder Änderung einen identischen Kurs zu wiederholen. Beurteilen Sie, ob die Änderung Wissen, Fähigkeiten oder Entscheidungen für die Rolle betrifft. Ein gezieltes Briefing, ein Szenarien-Training oder ein aktualisiertes Modul kann die Lücke direkter schließen. Die frühere Kursaufzeichnung bleibt erhalten, und die neue Aktivität wird separat, inklusive Zweck und Folgemaßnahmen, dokumentiert.
Beweist eine absolvierte Auffrischung, dass das Unternehmen DORA-konform ist?
Nein. Es ist ein Nachweis einer Lernaktivität und – sofern bewertet – des dokumentierten Ergebnisses der Bewertung. Die organisatorische Einhaltung betrifft die geltende Governance, Kontrollen und weitere Pflichten. Ein belastbarer Lernnachweis identifiziert den vermittelten und bewerteten Inhalt, die genutzte Version und die offenen Punkte. Er soll eine informierte Aufsicht unterstützen und nicht als Ersatz dafür dienen.
Quellen und weiterführende Informationen
Hauptgesetzgebung und aufsichtsrechtliches Material. Praktische Beispiele und Vorlagen in diesem Leitfaden sind Vorschläge, keine vorgeschriebenen regulatorischen Formulare.
- DORA: Artikel 5, 13 und 16
- EIOPA Q&A 250–3380: Schulung und Proportionalität
- EZB: Erwartungen an Fachkenntnisse in den Bereichen IKT und Sicherheit in Bankgremien
Dieser Leitfaden dient der Schulung. Überprüfen Sie mit Ihrem Rechts- und Compliance-Team den Geltungsbereich, anzuwendenden Rahmen und aufsichtsrechtliche Anforderungen für Ihr Unternehmen.
