Requisitos de formación DORA para administradores: el artículo 5(4) explicado

Empiece por la entidad y las personas, no por el catálogo de cursos

DORA se aplica desde el 17 de enero de 2025 a determinadas categorías de entidades financieras, con exclusiones específicas. No es una ley general de formación para todas las empresas europeas. Compruebe la autorización de actividad, la entidad jurídica y las normas de supervisión aplicables. La presentación de DORA de EIOPA explica el contexto sectorial; el artículo 2 define su ámbito de aplicación.

Antes de asignar la formación, documente su alcance en una página. Indique la entidad regulada, el marco aplicable, sus órganos de dirección, sus miembros y quién ha validado esa correspondencia. Un programa de grupo puede aportar contenidos comunes, pero el órgano de dirección de cada filial debe comprender sus propios servicios, dependencias y decisiones. El informe de formación de una matriz extranjera no demuestra que los administradores locales conozcan los procedimientos de recuperación locales.

Identifique a los destinatarios según sus responsabilidades reales de gobierno. El «órgano de administración» es un concepto jurídico definido en el artículo 3(30), no una forma de referirse a cualquiera que tenga el título de manager. Pida al equipo jurídico o de gobierno corporativo que confirme qué cargos corresponden a ese órgano en su entidad. Inscriba a los nuevos miembros en el registro de formación desde su nombramiento, sin esperar a la próxima campaña del grupo.

Existe una excepción importante: las entidades sujetas al marco simplificado del artículo 16 no aplican directamente los artículos 5 a 15. Sus obligaciones de formación y gobierno se derivan de ese marco y de sus normas técnicas. Simplificado no significa sin formación.

Separe el requisito del formato formativo

El artículo 5(4) vincula un aprendizaje regular y específico con la capacidad de comprender y evaluar el riesgo TIC y su impacto empresarial. El artículo 13(6) trata por separado la sensibilización y la formación en resiliencia de plantilla y alta dirección. Ninguna disposición establece un número universal de horas por año.

Esta distinción importa al contratar un programa. Un proveedor puede aportar un temario coherente, un registro de aprendizaje y una evaluación. Su empresa debe decidir si el contenido aborda las responsabilidades y exposición al riesgo de sus participantes. Un certificado no puede validar un plan de recuperación que el alumno nunca ha visto, ni una dependencia de proveedor que el curso no conoce que existe.

Defina qué deberán saber hacer los participantes antes de elegir el formato. Un miembro del consejo debería poder explicar qué interrupción de servicio causaría más daño, reconocer las debilidades de las evidencias presentadas por la dirección e identificar las decisiones que siguen correspondiendo al consejo durante una crisis. Un directivo debería saber aplicar el procedimiento de escalado de su organización sin tener que buscar políticas que desconoce.

Por tanto, un programa práctico tiene tres capas: una base conceptual compartida, una sesión informativa sobre la organización y un ejercicio de toma de decisiones. El estudio online se adapta a la primera capa; un responsable de servicio y un líder de riesgos pueden proporcionar la segunda; una discusión facilitada prueba la tercera. La combinación es una propuesta de diseño, no un método de entrega obligatorio.

Organice la matriz de formación según las decisiones de cada participante

La siguiente matriz es una plantilla de partida. Sustituya los ejemplos por las responsabilidades reales de su empresa y mantenga los detalles operativos sensibles dentro de su entorno de aprendizaje controlado. Asigne cada fila a un responsable que pueda confirmar si se ha conseguido el resultado de aprendizaje prometido.

Una matriz útil tiene más que una lista de módulos. Añada el idioma requerido, necesidades de accesibilidad, próxima fecha de revisión, versión del material, evaluador y acciones correctivas. Alguien puede comprender el vocabulario básico y aun así necesitar ayuda para interpretar un análisis de impacto en el negocio. Otra persona puede tener una gran experiencia técnica pero poco conocimiento del gobierno en el sector financiero.

No asigne a todos el mismo refuerzo formativo porque una persona haya tenido dificultades. Describa la carencia con precisión: «No sabe quién autoriza la comunicación de emergencia a los clientes» permite definir una acción útil; «Necesita más concienciación en ciberseguridad» no. Pida al participante que revise el procedimiento interno correspondiente y explique después la decisión con sus propias palabras.

Defina una frecuencia justificada y los eventos que requieren actualizar la formación

La respuesta definitiva de EIOPA a la pregunta DORA 250-3380 relaciona la frecuencia de la formación con los roles y la proporcionalidad, e incluye las lecciones de incidentes e inteligencia de amenazas relevante al actualizar los programas. Por tanto, un calendario por sí solo es un diseño incompleto. Documente tanto su ciclo normal como los eventos que pueden adelantar el aprendizaje.

Para un consejo con conocimientos de partida limitados, una propuesta razonable es impartir formación inicial al nombramiento, programar un repaso anual de las bases, organizar sesiones específicas antes de decisiones importantes y realizar ejercicios cuando la actividad o las amenazas lo aconsejen. Son sugerencias de planificación. El repaso anual no es una frecuencia fijada por ley: una empresa con muchos cambios o riesgos elevados puede necesitar bastante más.

• Un nuevo modelo operativo, adquisición o servicio crítico introduce dependencias desconocidas.
• Un incidente importante revela dudas sobre el escalado, el impacto en los clientes o quién puede autorizar la recuperación.
• Una prueba demuestra que la alternativa prevista no funciona con el volumen necesario.
• Un cambio de proveedor altera la concentración, el acceso a datos o la factibilidad de una salida.
• Un miembro del consejo cambia de función en un comité o asume una nueva responsabilidad.
• Un desarrollo legal o supervisor relevante cambia las decisiones que el consejo debe comprender.

Asigne a una persona la revisión de estos eventos. Un registro que solo envía avisos de caducidad puede pasar por alto las mejores oportunidades de aprendizaje. Añada un campo breve sobre necesidades de formación a las propuestas de cambio importantes y a las acciones posteriores a incidentes, para adaptar el programa a lo que ocurre.

Reserve tiempo para la discusión. Un resumen de cinco minutos que concluya en una decisión clara y registrada puede ser más útil que otra hora de diapositivas pasivas. Esto no significa que cinco minutos sean suficientes para el programa global; resalta por qué la relevancia y la comprensión deben medirse junto con la duración.

Conserve evidencias del aprendizaje y de los cambios que produjo

Documente una secuencia que un compañero pueda seguir sin pedir explicaciones al coordinador: desde la necesidad formativa hasta los contenidos, la participación, la evaluación y las acciones posteriores. Proponemos esta estructura para organizar los registros; no afirmamos que DORA exija exactamente estos campos.

1. Registre los destinatarios, sus funciones y el motivo de la asignación de la formación.
2. Conserve el temario, la versión del material, la fecha de impartición y la de revisión de las fuentes.
3. Registre la asistencia o finalización identificando a la persona que realmente participó.
4. Conserve los resultados de la evaluación y una breve descripción de las preguntas utilizadas.
5. Registre las carencias, quién debe resolverlas y la fecha prevista.
6. Relacione la discusión sustantiva con la decisión relevante del consejo o el registro de acciones.

Evalúe el juicio además de la memoria. “¿Qué artículo cubre la gobernanza?” verifica la memoria. “El proveedor reporta recuperación, pero la conciliación de transacciones está incompleta: ¿qué evidencia solicita antes de reanudar el servicio normal?” pone a prueba una distinción ejecutiva útil. Los participantes no tienen que elegir opciones operativas idénticas, pero sí reconocer la incertidumbre y explicar su razonamiento.

Toda tasa de finalización debe indicar cuántas personas incluye y a qué fecha corresponde. «Ocho de los diez miembros incluidos han completado la formación básica actual; los dos recién nombrados ya tienen programada la formación inicial» informa mejor que «80 % conforme». El estado de la formación y el cumplimiento normativo son cosas distintas.

Defina las reglas de conservación y acceso con los responsables de privacidad, archivos y gobierno corporativo. Reserve las evaluaciones individuales a quienes las necesitan. El consejo puede requerir solo una visión conjunta y las carencias pendientes. Conserve la versión del curso que se impartió para que pueda revisarse posteriormente.

Ejemplo práctico: detectar necesidades formativas a partir de una interrupción

Considere este ejercicio ficticio. A las 09:15 no está disponible el portal de transacciones de los clientes de una entidad financiera. El proveedor informa de que la infraestructura funciona correctamente, pero aún no puede confirmar la coherencia de las transacciones en cola. Atención al cliente recibe reclamaciones por pagos duplicados. El próximo informe a la dirección debe entregarse en veinte minutos.

Primera decisión: definir el problema desde el punto de vista del negocio

Pida a los participantes que describan el servicio afectado, los clientes expuestos y la consecuencia de esperar. Una buena respuesta distingue entre la posibilidad de acceder a un servicio y que las transacciones sean fiables. Además, debe nombrar qué se desconoce. Si la discusión se convierte inmediatamente en un debate sobre la terminología técnica del proveedor, el programa necesita más trabajo para traducir hechos técnicos en consecuencias de negocio.

Segunda decisión: identificar autoridad y escalado

Pregunte quién puede restringir el procesamiento de transacciones, quién coordina el incidente, quién aplica el proceso de notificación y cuándo recibe la junta una actualización. Los participantes deben usar sus propios roles y procedimientos aprobados. No invente un plazo de notificación para el ejercicio ni espere a una reunión plenaria antes de que un equipo autorizado pueda cumplir una obligación existente de notificación de incidentes.

Tercera decisión: acordar la evidencia para la recuperación

El proveedor anuncia que la plataforma vuelve a estar disponible. Un directivo debe preguntar qué conciliaciones, controles de negocio y protecciones al cliente respaldan la reanudación. El ejercicio debe permitir que la dirección explique distintas opciones y sus consecuencias, incluido un servicio parcial controlado. “El panel está en verde” es una observación, no una justificación completa de recuperación.

Termine con una breve puesta en común. Quizá el consejo entendió el escalado, pero no distinguió el objetivo de recuperación del último resultado demostrado. Asigne un refuerzo formativo específico, pida al responsable del servicio que mejore el informe y revise la decisión en una reunión posterior. Así se conectan aprendizaje, evidencias y mejor supervisión, sin presentar un ejercicio de mesa como prueba de la capacidad técnica de recuperación.

Evalúe el curso DORA según las necesidades de su consejo

Indique en los requisitos de contratación qué deberán saber hacer los participantes al terminar. Solicite el temario, un escenario para directivos, las fuentes jurídicas con su fecha de revisión, el método de evaluación y el contenido de los registros de finalización. Pregunte cómo actualiza el proveedor los materiales cuando cambian las normas o los criterios de supervisión.

Busque límites claros. Un curso básico debe indicar qué cuestiones requieren un debate específico de la organización. Si un proveedor afirma que basta con completar un solo módulo para que su empresa cumpla con DORA, pregunte cómo ha evaluado su modelo operativo, controles, contratos y evidencias. No es posible fundamentar dicha afirmación simplemente impartiendo formación.

Priorice explicaciones sencillas sobre disponibilidad, integridad de datos, dependencias del servicio, recuperación y responsabilidad de riesgos en lugar de un extenso glosario. Un consejo de administración no necesita configurar un cortafuegos para cuestionar un supuesto de recuperación no respaldado. Sí necesita confianza para preguntar qué ha probado la dirección y qué sigue siendo incierto.

El curso Formación DORA en ciberseguridad para administradores y directivos de BlueTeam Academy ofrece ocho módulos y unas tres horas de estudio guiado, centrados en la toma de decisiones. Utilícelo para establecer una base común y añada información sobre sus propios servicios, debates adaptados a cada función y un plan de formación continua. Completar el curso deja constancia de una actividad formativa; no otorga una acreditación oficial ni demuestra que su organización cumpla DORA.

Un plan práctico de 90 días para un consejo ya constituido

Esta es una secuencia de implementación para mejorar un programa, no un periodo de gracia regulatorio. Priorice de inmediato las carencias de conocimientos urgentes si afectan a decisiones que ya se están tomando.

Designe un coordinador del programa y mantenga la responsabilidad de cada materia en el área competente. El coordinador puede hacer seguimiento de la finalización y conservar los registros; el responsable de riesgos verifica la pertinencia, los responsables de los servicios explican la realidad operativa y la presidencia reserva tiempo para un debate útil. Documente cómo se gestionan las ausencias, los nuevos nombramientos y las carencias pendientes detectadas en las evaluaciones.

En la revisión final, examine como muestra el expediente formativo completo de un participante y una acción surgida del ejercicio. ¿Puede demostrar tanto que aprendió algo relevante como que la organización actuó sobre el problema detectado? Si falta uno de esos vínculos, refuércelo antes de añadir contenido.

Lleve estas preguntas a la próxima reunión del consejo

• ¿Hemos identificado a toda persona cuyo rol requiere esta formación?
• ¿Puede cada miembro explicar nuestra dependencia TIC más relevante?
• ¿Incluye nuestro programa evidencias de nuestro propio servicio y recuperación?
• ¿Qué incidente, prueba o cambio reciente debería modificar el plan de formación?
• ¿Qué lagunas de aprendizaje no resueltas podrían afectar a una decisión este trimestre?
• ¿Podemos relacionar una actividad formativa con un análisis más crítico o una acción completada?

Use las respuestas para preparar un orden del día concreto. Un consejo con conocimientos sólidos puede necesitar analizar en detalle un proveedor. Uno recién nombrado quizá necesite las bases antes de interpretar el cuadro de riesgos. Ambos deberían poder explicar por qué el programa se ajusta a sus responsabilidades.

Consulte también nuestra guía sobre las responsabilidades del consejo según DORA y nuestro modelo práctico de cuadro de mando DORA para el consejo. En conjunto, conectan lo que aprenden los directivos con las decisiones que toman y la información que piden recibir.