La respuesta breve
El artículo 5(4) de DORA exige que los miembros del órgano de administración mantengan actualizados sus conocimientos y competencias sobre riesgo TIC mediante formación específica y regular, proporcional al riesgo gestionado. No fija una periodicidad anual universal. Documente el ciclo elegido, tenga en cuenta las expectativas supervisoras aplicables y responda a los cambios importantes antes de la siguiente actualización prevista.
1. Lo que realmente exigen las disposiciones de formación
DORA se aplica desde el 17 de enero de 2025. Empiece por el alcance de la entidad financiera y el marco aplicable. Según el marco general, el artículo 5(4) trata la capacidad del órgano de administración de comprender y evaluar el riesgo TIC y su impacto en las operaciones. El objetivo es el conocimiento actualizado y el criterio informado, no completar la misma presentación cada doce meses. El texto de la disposición no especifica un intervalo universal de calendario.
El artículo 13(6) aborda la concienciación obligatoria en seguridad TIC y la formación en resiliencia operativa digital para empleados y alta dirección. La complejidad debe ajustarse a sus funciones, con la participación de los proveedores TIC pertinentes cuando corresponda. Las entidades que cumplen los requisitos del marco simplificado del artículo 16 tienen disposiciones diferentes, incluida la formación del personal y la dirección según sus necesidades en el artículo 16(1)(h). No suponga que la disposición sobre el órgano de administración es la base jurídica aplicable a todos los participantes o entidades.
Estas distinciones importan al preparar el calendario formativo. Tras una misma interrupción, un consejero, un coordinador de incidentes y un compañero de atención al cliente pueden necesitar formación, pero deben tomar decisiones diferentes y requieren distinto nivel de detalle. Una sesión informativa común puede atender varias necesidades; eso no impone comprar cursos separados. Lea la guía de requisitos de formación del órgano de administración antes de convertir una obligación legal en una especificación de compra.
2. Una actualización anual es una elección del programa
Una actualización anual aporta una referencia previsible para planificar, dar seguimiento a la incorporación de nuevos miembros y presupuestar. También permite al consejo revisar sus prioridades de formación. Presentar esa frecuencia como la única permitida por DORA, sin embargo, confunde el diseño de la oferta de un proveedor con el texto del reglamento. Explique la elección, su justificación y los acontecimientos que pueden adelantar la formación.
Otras expectativas supervisoras pueden informar la decisión. Por ejemplo, las buenas prácticas publicadas por el BCE sobre la experiencia en TIC y seguridad de los consejos de administración bancarios hablan de formación anual. Es un contexto relevante para los bancos afectados, no una base para afirmar que la misma regla se aplica igual a toda entidad financiera. El equipo de cumplimiento debe identificar el material supervisor y los requisitos nacionales aplicables junto con el marco DORA.
En BlueTeam Academy, la actualización anual es una recomendación de planificación. Los administradores pueden elegir otro intervalo según las funciones y el perfil de riesgo de la empresa. La configuración programa una revisión interna; no demuestra que ese periodo satisfaga todas las obligaciones. El consejo debe poder explicar por qué el ciclo es adecuado, qué información ha considerado y quién revisará la decisión si cambia la exposición. Sin esa justificación, un calendario no sustituye un plan de formación.
3. Defina qué acontecimientos requieren formación anticipada
Un programa regular debe prever los cambios entre sesiones planificadas: el lanzamiento de un servicio importante, cambios en dependencias de nube o gestión de identidades, una adquisición, un incidente relevante, un hallazgo de auditoría recurrente o un consejero que asume una nueva función. La pregunta es si el acontecimiento modifica los conocimientos o las decisiones que se esperan de las personas afectadas. No todo cambio técnico necesita un curso para el consejo, pero los cambios significativos requieren una evaluación razonada.
Considere una entidad de pagos que traslada su entorno de recuperación a la misma plataforma de nube que su servicio principal. El consejo completó el módulo de continuidad dos meses antes. Esperar otros diez meses para analizar esta concentración puede llevar a los consejeros a confiar en un supuesto de recuperación que ya no es válido. Una sesión informativa concreta y un ejercicio de decisión pueden cubrir la carencia sin repetir todo el programa.
Registre de forma sencilla lo que requiere nueva formación: cambio, servicio afectado, funciones implicadas, necesidad de aprendizaje, actividad propuesta, responsable y prueba de realización. Vincúlelo al proceso habitual de gestión de riesgos o cambios, sin depender de que alguien recuerde el calendario de formación. Tras un incidente, aproveche las lecciones sobre decisiones y escalado, además de la causa técnica. Un nuevo procedimiento solo resulta útil si quienes deben aplicarlo entienden qué tienen que hacer de forma diferente.
4. Planifique según las funciones y los servicios financieros
Un plan útil comienza con las personas y servicios de los que la entidad es responsable. Identifique a los miembros del órgano de administración y sus deberes de supervisión. Mapee las responsabilidades de la alta dirección y los roles operativos que requieran habilidades específicas de concienciación o resiliencia. Luego conecte esas responsabilidades con los servicios, datos importantes, dependencias TIC y posibles interrupciones previsibles. Esto produce un plan más defendible que asignar un contenido idéntico a cada cuenta en el directorio.
Para el consejo, el resultado podría ser la capacidad de cuestionar apetito de riesgo, inversión, evidencias de recuperación y la exposición a proveedores relevantes. Para un coordinador de incidentes, podría ser la clasificación fiable, escalado y coordinación siguiendo los procedimientos aprobados de la entidad. Para un colega que gestiona instrucciones de clientes, podría ser reconocer y reportar rápidamente una sospecha de problema de integridad. Estos resultados están relacionados, pero una prueba solo sobre higiene de contraseñas no demuestra criterio a nivel de consejo sobre recuperación o recursos.
Adapte el nivel de detalle a las necesidades. El responsable de un servicio con dependencias compartidas complejas puede necesitar ejercicios más profundos que una introducción general. Documente dónde termina el contenido común y dónde empieza la sesión o el taller específico de la entidad. Si el marco jurídico aún no está confirmado, registre ese punto como una acción pendiente con un responsable. La configuración predeterminada de la plataforma no determina el ámbito jurídico aplicable.
5. Un ciclo práctico desde la incorporación a la actualización
Un diseño práctico empieza con la formación inicial, seguida de una base común para la dirección, una conversación sobre los servicios reales de la entidad y una revisión programada de los cambios. La base común aporta conceptos y métodos de decisión. La conversación en la empresa comprueba su aplicación al diseño de recuperación, a la cadena de proveedores y a la gobernanza. La revisión periódica identifica qué ha cambiado y qué supuestos anteriores necesitan nuevas evidencias.
Por ejemplo, un director recién nombrado podría completar un programa para consejos, asistir a una sesión informativa de servicio y anotar las preguntas que desea que responda la dirección. El secretario del consejo o responsable de formación podría comprobar el avance según las fechas acordadas. En la siguiente revisión prevista, el director podría examinar los cambios en responsabilidades y los temas de riesgo sin resolver, y después realizar un repaso o ejercicio específico. La programación exacta debe ajustarse a las necesidades de la entidad y las expectativas aplicables, y no debe tratarse esta secuencia a modo ilustrativo como calendario obligatorio.
Conecte las actividades entre sí. Si un taller identifica una dependencia de recuperación no probada, debería generar una acción y una solicitud posterior de evidencias. La siguiente actualización debe comprobar si esa acción cambió la capacidad del servicio. Así, la formación contribuye a una supervisión continua. También permite a quien compra para la empresa valorar el curso por las decisiones que ayuda a tomar, no solo por el número de vídeos, el aspecto del certificado o el uso de la palabra cumplimiento por el proveedor.
6. Documente la formación y las carencias pendientes
Conserve para cada participante la identidad, organización, función profesional, módulos asignados, versión del curso y fechas de finalización. Registre los resultados de las evaluaciones y el identificador del certificado, si lo hay. Distinga del curso principal el historial de actualizaciones y los registros de talleres. Cambiar el título del curso no debe alterar silenciosamente el significado de una finalización anterior.
El informe corporativo debe mostrar tanto brechas como logros: personas que no han comenzado, módulos sin terminar, evaluaciones fallidas o pendientes, tareas atrasadas y actividades de seguimiento. Un porcentaje de finalización puede ocultar que los directores responsables de un servicio crítico no han completado la formación correspondiente. Utilice el informe para decidir quién necesita apoyo o una actividad diferente; evite tratarlo como una puntuación de cumplimiento normativo.
Las evidencias tienen límites. Pasar tiempo en una página no prueba la comprensión. Un test con respuestas predefinidas evalúa ciertas decisiones, no la competencia ante todos los incidentes reales. Los razonamientos escritos y las conversaciones guiadas pueden revelar supuestos, pero el registro debe indicar si alguien revisó las respuestas. Si un administrador registra la asistencia a un taller, identifíquelo como una declaración suya. Consulte nuestra guía sobre certificados de formación DORA para distinguir las pruebas de finalización de las afirmaciones de certificación sin respaldo.
7. Ejemplo: el consejo responde a un cambio en una dependencia de nube
Una aseguradora ficticia programa la actualización periódica de sus dirigentes para noviembre. En marzo, un cambio de proveedor hace que dos servicios para clientes dependan de la misma plataforma de identidad. En abril, un ejercicio restaura los datos con éxito, pero no prueba la pérdida de esa plataforma. El responsable de formación observa que los consejeros podrían interpretar los dos contratos como prueba de recuperación independiente. La carencia es un supuesto equivocado sobre las dependencias comunes.
La entidad organiza una breve presentación del servicio y un ejercicio para el consejo antes de aprobar la renovación. Los participantes identifican la dependencia compartida, examinan la estimación de recuperación y concretan las evidencias necesarias. El registro recoge la fecha, las funciones, el escenario, las decisiones y las acciones pendientes. El equipo técnico responde de una prueba de recuperación representativa; el responsable de negocio decide sobre el riesgo residual. La formación no sustituye ninguna de estas responsabilidades.
En noviembre, la actualización repasa el resultado de esa prueba y las preguntas previas del consejo. Si la exposición sigue sin resolverse, el informe lo refleja. Completar la actualización no convierte un control fallido en uno exitoso. Este ejemplo muestra por qué un calendario regular y el aprendizaje por eventos son complementarios: el calendario aporta continuidad y el desencadenante mantiene el conocimiento pertinente para decisiones que no pueden esperar.
8. Incorpore el plan al espacio de su empresa
Utilice el curso Formación DORA en ciberseguridad para administradores y directivos como base común para la dirección y añada el contexto de su empresa. El programa principal de la Academia contiene ocho módulos con ejercicios de decisión escritos y una evaluación por escenarios. Las tres horas aproximadas son una estimación del estudio guiado, incluidos los ejercicios; no un mínimo legal ni una garantía de duración suficiente para cualquier función.
El curso separado de actualización para el consejo permite revisar responsabilidades modificadas, supuestos de recuperación y aprendizajes sobre proveedores o auditorías. Los administradores pueden asignarlo a las personas correspondientes y seguir su finalización por separado. Después de un taller pueden registrar al facilitador, los participantes, los objetivos y las decisiones. Mantenga también las acciones operativas pendientes en el proceso habitual de gobernanza, además de documentar la formación que han generado.
Antes de adoptar el plan, acuerde su alcance con los responsables de formación, riesgos y cumplimiento. Determine quién mantiene el calendario, quién recibe los informes de actividades vencidas, qué requiere una actualización específica y cómo se valorará la mejora en la comprensión en la siguiente revisión. Aclarar estas responsabilidades tiene más valor que elegir únicamente una fecha periódica.
Preguntas que hacen los líderes
¿Regular significa una vez al año?
Las disposiciones de formación de DORA no definen un intervalo anual universal. Un repaso anual es una opción útil en muchos programas, y las expectativas supervisoras pueden aportar contexto relevante. Documente la base de su calendario, considere los roles de las personas y el riesgo TIC, y defina cómo los cambios materiales desencadenan formación anticipada. No describa la fecha de renovación estándar de un proveedor como si fuera el texto explícito del reglamento.
¿Hay que repetir todo el curso tras cada cambio?
Estas disposiciones no contienen una regla universal que obligue a repetir el mismo curso tras cada cambio. Evalúe si el cambio afecta a los conocimientos, las competencias o las decisiones esperadas en la función. Una sesión informativa específica, un ejercicio por escenarios o un módulo actualizado pueden atender la necesidad de forma más directa. Conserve el registro anterior y documente la nueva actividad por separado, con su propósito y las actuaciones posteriores.
¿Completar un repaso prueba que la empresa cumple con DORA?
No. Acredita una actividad formativa y, si se realizó una evaluación, el resultado registrado. El cumplimiento de la organización abarca la gobernanza, los controles y otras obligaciones aplicables. Un registro sólido identifica qué se enseñó y evaluó, qué versión se utilizó y qué sigue pendiente. Debe apoyar la supervisión informada, sin presentarse como su sustituto.
Fuentes y lecturas adicionales
Legislación principal y material supervisor. Los ejemplos prácticos y plantillas de esta guía son sugerencias, no formularios regulatorios prescritos.
- DORA: artículos 5, 13 y 16
- EIOPA Q&A 250–3380: formación y proporcionalidad
- BCE: expectativas sobre conocimientos de la junta bancaria en materia de TIC y seguridad
Esta guía es didáctica. Confirme el alcance de su entidad, el marco aplicable y los requisitos del supervisor con su equipo legal y de cumplimiento.
