La respuesta breve
Un certificado de finalización puede demostrar que una persona identificada cumplió los criterios documentados por el proveedor para una versión concreta del curso. Por sí solo, no demuestra que la entidad financiera cumpla DORA ni equivale a una cualificación aprobada por la UE. Examine el temario, la evaluación y el historial de formación, además del título del documento.
1. Distinga entre terminar un curso y cumplir la normativa
Un miembro del consejo puede completar un curso pertinente aunque la entidad siga teniendo una dependencia de recuperación sin probar, una medida de auditoría cuyo plazo ha vencido o un plan inadecuado para dejar de utilizar un proveedor. La formación puede ayudarle a identificar esos problemas y pedir explicaciones. No los elimina. El certificado debe describir el logro formativo, sin convertirlo en una conclusión sobre todos los controles de la entidad.
Las disposiciones de DORA sobre formación se centran en conocimientos, competencias, formación adecuada y responsabilidades de las funciones pertinentes. Los artículos 5(4) y 13(6) no prescriben un sistema concreto de acreditación ni un examen o una nota de corte universales. Un proveedor puede definir una evaluación y emitir un certificado de finalización, pero debe explicar que esos criterios forman parte del diseño de su programa. Una bandera de la UE, un sello de apariencia oficial o la palabra «certificado» en una página comercial no demuestran la aprobación de un regulador.
Para una entidad financiera que use el marco general, el aprendizaje del consejo debe apoyar la capacidad de comprender y evaluar el riesgo TIC y sus consecuencias operacionales. Las entidades elegibles para el marco simplificado del Artículo 16 tienen condiciones distintas, incluyendo su propio requisito formativo para personal y directivos. Un certificado no debe afirmar que el Artículo 5(4) es la base aplicable para cada cliente. Establezca por separado el alcance y el marco, junto a las personas responsables de la evaluación legal y de cumplimiento de la entidad.
2. Identifique quién ha completado cada formación
Un certificado útil de finalización identifica al alumno, la organización, el título del curso, la versión del curso, la fecha de finalización, el emisor y un identificador único de certificado. El perfil profesional aporta contexto al motivo de la formación. Cuando la evaluación forma parte de los criterios, se debe mostrar el resultado y el umbral de aprobación del proveedor. Evite un documento que solo indique la asistencia a formación DORA sin ninguna descripción de lo que implica.
Procure que el certificado siga siendo comprensible cuando cambie el catálogo. Quien lo revise en el futuro puede necesitar distinguir una breve muestra introductoria de un programa de ocho módulos para directivos. Ambos pueden generar un registro, pero no son equivalentes. El título por sí solo es una referencia histórica débil, porque los nombres comerciales pueden cambiar. La versión debe identificar un temario y un sistema de evaluación definidos que el proveedor pueda explicar.
Distinga la identidad de las facultades de una persona. Completar un curso para el consejo no demuestra que sea miembro del órgano de dirección, que pueda aceptar riesgos en nombre de la entidad ni que posea una condición profesional verificada por terceros. En BlueTeam Academy el alumno declara su cargo, que se conserva en los datos registrados al finalizar el curso; no se realiza una verificación independiente de sus credenciales. La empresa debe utilizar sus propios documentos de gobierno para confirmar las funciones de cada persona y el motivo de la asignación del programa.
3. Mire más allá del certificado: examine las pruebas del aprendizaje
La pregunta importante es qué permiten comprobar los documentos sobre la formación realizada, más allá del aspecto del PDF. Solicite los módulos asignados, objetivos, versión del curso, fechas de finalización de los módulos, intentos de evaluación y resultados. Si el programa incluye decisiones escritas o escenarios, compruebe cómo se conservan las respuestas y si alguien ha revisado su calidad. El registro debe indicar expresamente si esa revisión se ha realizado.
El registro de una página completada puede documentar que el alumno confirmó haberla leído. Una pregunta de decisión puede mostrar si eligió una respuesta respaldada por los datos de una situación concreta. Una evaluación basada en escenarios comprueba cómo aplica los conceptos en varias decisiones. Un taller con moderador puede revelar desacuerdos y supuestos. Cada método aporta información distinta. Ninguno debe presentarse, sin explicación, como una evaluación independiente y exhaustiva de la competencia profesional.
Considere un escenario de recuperación: el servicio principal y el entorno de recuperación comparten el mismo proveedor de identidad en la nube. Recordar el número de un artículo no demuestra que el alumno pueda cuestionar la estimación de recuperación. Un ejercicio más útil pregunta qué dependencias compartidas, pasos de conciliación de datos y pruebas deben examinarse antes de aceptar la afirmación de la dirección. Conservar el razonamiento del alumno permite debatir ese juicio. Si se almacena, pero no se califica, el certificado y la documentación deben indicarlo.
4. Conserve las versiones, los intentos y el historial de actualización
Los registros de aprendizaje deben sobrevivir a los cambios normales del curso y la cuenta del alumno. Una nueva edición del programa no debe sobrescribir una evaluación anterior ni convertir una finalización introductoria en una titulación más avanzada. Conserve la versión del curso, los criterios y los datos de identidad relevantes tal y como eran cuando se emitió el certificado. Si el alumno cambia de puesto más adelante, el certificado original debe seguir siendo un registro histórico comprensible.
Conserve los intentos no superados como parte del historial de aprendizaje, en vez de mostrar solo la mejor puntuación sin contexto. Un aprobado posterior demuestra que la persona cumplió después los criterios del programa. Las dificultades anteriores siguen siendo útiles para decidir qué apoyo necesita. Los administradores pueden comentar los temas con errores recurrentes o proponer otro ejercicio. El informe debe reflejar los resultados con precisión, sin convertir un primer intento fallido en un juicio sobre la capacidad profesional global de la persona.
Los cursos de actualización deben tener su propia versión e historial de finalización. Una fecha de revisión recomendada sirve para planificar; no es una fecha de caducidad legal automática del certificado. Los cambios importantes pueden exigir formación antes de esa fecha. Distinga los registros de talleres de los cursos completados con evaluación y conserve la trazabilidad de las correcciones. Consulte nuestra guía sobre con qué frecuencia se requiere formación DORA para entender la relación entre un calendario regular, las necesidades de cada función y las actualizaciones motivadas por cambios.
5. Muestre a la empresa qué formación queda pendiente
La empresa necesita más información que el número de certificados descargados. El informe debe indicar a quién se ha asignado cada versión, qué queda pendiente, el plazo y el resultado. Incluya los módulos no terminados para distinguir a quien aún no ha llegado a continuidad operativa o supervisión de proveedores de quien ya ha completado esos módulos, pero todavía debe realizar la evaluación. El historial debe permitir identificar las asignaciones canceladas y las vinculaciones inactivas con la empresa.
Vincule el identificador de certificado a un intento aprobado registrado en lugar de permitir que un navegador genere una declaración de éxito desde el estado local de la página. La evidencia debe acotarse a la organización: el administrador de una empresa no debería poder recuperar los certificados o respuestas escritas de otra. Los alumnos deben poder obtener sus propios registros sin acceder a la evidencia privada de aprendizaje de sus compañeros.
En un curso de actualización asignado, distinga un resultado anterior del nuevo intento esperado después de la asignación. De lo contrario, un aprobado antiguo puede hacer que una nueva obligación formativa aparezca completada de inmediato. Conserve también el registro anterior. Un informe útil ayuda a decidir a quién ofrecer apoyo, qué seguimiento realizar y cómo gestionar actividades con el plazo vencido. No debe convertir el porcentaje global de finalización en una declaración de cumplimiento de DORA.
6. Documente con rigor el contexto de la empresa y los talleres
Un programa para directivos resulta más útil cuando el participante lo relaciona con los servicios financieros, las dependencias y el perfil de riesgo de la entidad. La empresa puede describir el contexto general de un servicio y utilizarlo en ejercicios de decisión. No incluya en las notas de formación datos personales de clientes, credenciales ni detalles de vulnerabilidades explotables. El objetivo es examinar decisiones y supuestos, no crear otro repositorio sin control de información operativa sensible.
Para un taller opcional, registre fecha, duración, moderador, participantes, objetivos, contexto del servicio y decisiones importantes. Anote las preguntas abiertas, los responsables del seguimiento y las pruebas que se esperan después. Si los datos los introduce un administrador de la empresa, identifíquelos como una declaración de esa persona. El registro no debe generar automáticamente el certificado del curso con evaluación de la academia ni sugerir que la academia observó la sesión de forma independiente.
Las correcciones deben dejar un historial claro. Si se registró la asistencia de la persona equivocada, conserve la corrección motivada o el registro de anulación e introduzca los datos correctos mediante el procedimiento habitual. No borre la discrepancia sin dejar rastro. Quien revise el historial debe poder entender lo ocurrido sin presumir que cada cambio es una conducta indebida. Un taller también puede revelar una carencia de control sin resolverla: documente por separado las medidas correctivas y el hecho de que los participantes la hayan debatido.
7. Preguntas para hacer a un proveedor de formación DORA
Antes de comprar, pida al proveedor que muestre una lección real, una evaluación basada en escenarios y un ejemplo de los datos que se pueden exportar. Compruebe si la formación aborda las decisiones del órgano de dirección sobre riesgos, continuidad, recuperación, recursos, auditoría y relaciones con terceros. La concienciación general de los empleados puede aportar conocimientos útiles, pero persigue un objetivo distinto de la gestión del riesgo TIC desde el órgano de dirección. Aclare a quién se dirige el producto y qué aspectos requieren trabajo adicional específico de la empresa.
Pregunte cómo describe el proveedor la duración y frecuencia. Tres horas pueden ser un cálculo estimado que incluya ejercicios; no debe presentarse como un mínimo legal. Un repaso anual puede ser una recomendación práctica, pero no debe venderse como una frecuencia legal universal. Pregunte cómo los cambios materiales llevan a contenidos actualizados y cómo la plataforma conserva versiones antiguas. Si un proveedor asegura acreditación, solicite el esquema preciso y verifique de forma independiente qué cubre, en vez de fiarse de un distintivo genérico.
Por último, pruebe cómo se registra y consulta la documentación. ¿Pueden sus administradores asignar los cursos a las personas adecuadas, ver los módulos pendientes, exportar resultados e identificar la versión del certificado? ¿Pueden los alumnos recuperar sus propios registros? ¿Se distingue la asistencia al taller de la evaluación? ¿Explica el proveedor los límites de la calificación automática? Estas preguntas permiten valorar qué acredita el certificado en la práctica y si el producto ayuda a su gobierno corporativo, en vez de añadir otro documento a una carpeta.
8. Qué registra BlueTeam Academy
Formación DORA en ciberseguridad para administradores y directivos incluye ocho módulos, cada uno con un ejercicio escrito y una pregunta de decisión, y una evaluación final de 16 preguntas basadas en escenarios. Para completar el programa se deben superar las comprobaciones de los módulos, entregar los ejercicios escritos y obtener al menos un 80% en la evaluación final. Son criterios de la academia. El tiempo estimado de estudio guiado es de unas tres horas, incluidos ejercicios y evaluación; cada persona avanza a su ritmo.
El certificado conserva los datos existentes al emitirse: alumno, organización, cargo declarado, versión del curso, objetivos, fechas de finalización de los módulos y resultado de la evaluación. Las respuestas escritas se guardan, pero su calidad profesional no se evalúa automáticamente. El servidor crea el certificado después de un intento aprobado. El documento imprimible puede guardarse en PDF desde el navegador; la exportación ofrece a los usuarios autorizados los datos estructurados que lo respaldan.
El informe de la empresa también incluye módulos asignados, actividades pendientes, identificadores de certificados, historial de actualización y registros de talleres. El curso de actualización ayuda a mantener los conocimientos; las conversaciones específicas de la empresa los relacionan con sus servicios reales. Ese es el alcance del registro: documenta la formación de la academia y sus criterios de finalización. No constituye una acreditación de la UE, una habilitación profesional ni una conclusión sobre el cumplimiento de DORA por parte de la entidad financiera.
Preguntas que hacen los líderes
¿Se requiere un certificado de formación DORA aprobado por la UE según los artículos 5(4) o 13(6)?
Estas disposiciones no mencionan ningún esquema de acreditación obligatorio ni certificado prescrito. Un proveedor puede emitir un certificado de finalización según sus propios criterios divulgados. El comprador debe revisar el temario, la evaluación, la relevancia en el puesto y la evidencia, y no debe deducir la aprobación de la UE por el diseño o el texto del documento.
¿Un certificado caduca tras doce meses?
Un programa puede recomendar una formación de actualización o un plazo de revisión. Eso es distinto de afirmar que DORA establece para todos los certificados una caducidad legal de doce meses. Tenga en cuenta el marco aplicable, las expectativas de supervisión, la función, el riesgo y los cambios relevantes. Conserve la fecha y la versión originales y registre la formación posterior como una actividad separada.
¿Puede la asistencia a un taller sustituir la evaluación por escenarios?
En el programa de la academia, asistir a un taller es distinto de completar un curso con evaluación y no genera automáticamente un certificado. La empresa puede utilizar talleres para profundizar en los conocimientos y examinar el razonamiento. El registro debe indicar qué se observó, quién lo observó y con qué criterios. No presente la asistencia como un resultado evaluado de forma independiente.
Fuentes y lecturas adicionales
Legislación principal y material supervisor. Los ejemplos prácticos y plantillas de esta guía son sugerencias, no formularios regulatorios prescritos.
- DORA: disposiciones sobre gobierno y formación
- EIOPA: Reglamento de Resiliencia Operativa Digital (DORA)
- EIOPA Q&A 250–3380: proporcionalidad de la formación
Esta guía es didáctica. Confirme el alcance de su entidad, el marco aplicable y los requisitos del supervisor con su equipo legal y de cumplimiento.
