La respuesta breve
El artículo 5(4) de DORA requiere que los miembros del órgano de administración mantengan actualizados sus conocimientos y habilidades en riesgo TIC mediante formación específica de forma regular, proporcional al riesgo gestionado. No fija un intervalo anual universal. Elije un ciclo de aprendizaje documentado, considera las expectativas supervisoras aplicables y responde a cambios relevantes antes del siguiente repaso rutinario.
1. Lo que realmente exigen las disposiciones de formación
DORA se aplica desde el 17 de enero de 2025. Empiece por el alcance de la entidad financiera y el marco aplicable. Según el marco general, el artículo 5(4) trata la capacidad del órgano de administración de comprender y evaluar el riesgo TIC y su impacto en las operaciones. El objetivo es el conocimiento actualizado y el criterio informado, no completar la misma presentación cada doce meses. El texto de la disposición no especifica un intervalo universal de calendario.
El artículo 13(6) aborda la formación obligatoria en concienciación de seguridad TIC y resiliencia operativa digital para empleados y alta dirección. Su complejidad debe ajustarse al alcance de sus funciones, incluyendo a los proveedores TIC relevantes cuando corresponda. Las entidades elegibles que utilicen el marco simplificado del artículo 16 tienen disposiciones distintas, incluyendo formación según necesidades para personal y dirección en el artículo 16(1)(h). No trates la disposición para el consejo como la base legal aplicable para todo alumno o entidad.
Estas distinciones son importantes al crear un calendario de formación. Un director, un coordinador de incidentes y un compañero de atención al cliente pueden requerir formación tras la misma incidencia, pero necesitan decisiones y niveles de detalle diferentes. Un informe común puede cubrir varias necesidades; el hecho de compartirlo no obliga a compras comerciales separadas. Lea el guía de requisitos de formación para la junta antes de convertir una obligación legal en una especificación de compra.
2. Una actualización anual es una elección del programa
Un repaso anual puede proporcionar una referencia previsible para la planificación, el seguimiento de la incorporación y el presupuesto. También puede ser un momento en el que la junta revise sus prioridades de aprendizaje. Sin embargo, describir ese intervalo como el único permitido por DORA confunde el diseño del producto de un proveedor con la redacción de la regulación. Explica la elección, su justificación y los eventos que pueden adelantar la formación.
Otras expectativas supervisoras pueden informar la decisión. Por ejemplo, las buenas prácticas publicadas por el BCE sobre la experiencia en TIC y seguridad de los consejos de administración bancarios hablan de formación anual. Es un contexto relevante para los bancos afectados, no una base para afirmar que la misma regla se aplica igual a toda entidad financiera. El equipo de cumplimiento debe identificar el material supervisor y los requisitos nacionales aplicables junto con el marco DORA.
En BlueTeam Academy, la actualización anual es una recomendación de planificación. Los administradores pueden establecer un intervalo de revisión diferente según los roles y el perfil de riesgo de la empresa. Esa configuración programa una expectativa de revisión interna; no establece que un periodo concreto cumpla toda obligación. Un consejo debe poder explicar por qué el ciclo elegido tiene sentido, qué información se consideró y quién revisará la decisión si cambia la exposición. Un calendario sin ese razonamiento es un pobre sustituto de un plan de aprendizaje.
3. Define eventos que desencadenan aprendizaje anticipado
Un programa regular debe tener una vía para cambios que lleguen entre sesiones planificadas. Ejemplos incluyen el lanzamiento de un servicio importante, cambio en una dependencia de la nube o identidad, adquisición de otro negocio, un incidente grave, un hallazgo recurrente de auditoría o un directivo asumiendo un nuevo cargo. La cuestión es si el evento modifica el conocimiento o las decisiones esperadas de las personas afectadas. No todo cambio técnico necesita una formación de consejo, pero los cambios significativos requieren una evaluación razonada.
Considera una entidad de pagos que traslada su entorno de recuperación a la misma plataforma en la nube que su servicio principal. El consejo completó un módulo de continuidad dos meses antes. Esperar diez meses más para discutir la nueva concentración puede hacer que los directivos confíen en una suposición de recuperación que ya no es válida. Un informe concreto y un ejercicio de decisión pueden cubrir esa laguna sin repetir todo el programa.
Create a simple trigger record: the change, affected service, roles concerned, learning need, proposed activity, owner and completion evidence. Connect it to the normal risk or change-governance process so that it is not dependent on somebody remembering the training calendar. After an incident, use the lessons about decisions and escalation as well as the technical cause. A new procedure matters only if the people expected to use it understand what they must do differently.
4. Planifica en torno a roles y servicios financieros
Un plan útil comienza con las personas y servicios de los que la entidad es responsable. Identifique a los miembros del órgano de administración y sus deberes de supervisión. Mapee las responsabilidades de la alta dirección y los roles operativos que requieran habilidades específicas de concienciación o resiliencia. Luego conecte esas responsabilidades con los servicios, datos importantes, dependencias TIC y posibles interrupciones previsibles. Esto produce un plan más defendible que asignar un contenido idéntico a cada cuenta en el directorio.
Para el consejo, el resultado podría ser la capacidad de cuestionar apetito de riesgo, inversión, evidencias de recuperación y la exposición a proveedores relevantes. Para un coordinador de incidentes, podría ser la clasificación fiable, escalado y coordinación siguiendo los procedimientos aprobados de la entidad. Para un colega que gestiona instrucciones de clientes, podría ser reconocer y reportar rápidamente una sospecha de problema de integridad. Estos resultados están relacionados, pero una prueba solo sobre higiene de contraseñas no demuestra criterio a nivel de consejo sobre recuperación o recursos.
Utiliza profundidad proporcional. Un responsable de un servicio con dependencias compartidas complejas puede requerir un trabajo de escenarios más detallado que un resumen introductorio. Documenta dónde termina el núcleo común y dónde empieza el taller o sesión informativa específica por entidad. Si el marco legal no está aún confirmado, regístralo como acción pendiente con un responsable. No hagas que el ajuste por defecto del sistema de aprendizaje parezca una determinación legal sobre el alcance.
5. Un ciclo práctico desde la incorporación a la actualización
Un diseño viable comienza con la inducción, seguido de un núcleo común de liderazgo, un bloque de discusión sobre los servicios reales de la entidad y una revisión programada de los cambios. El núcleo común aporta vocabulario y métodos de decisión. El bloque de compañía verifica si esos métodos aplican al diseño real de recuperación, la cadena de proveedores y los acuerdos de gobernanza. La revisión periódica pregunta qué ha cambiado y cuáles de los supuestos previos necesitan nuevas evidencias.
Por ejemplo, un director recién nombrado podría completar un programa para consejos, asistir a una sesión informativa de servicio y anotar las preguntas que desea que responda la dirección. El secretario del consejo o responsable de formación podría comprobar el avance según las fechas acordadas. En la siguiente revisión prevista, el director podría examinar los cambios en responsabilidades y los temas de riesgo sin resolver, y después realizar un repaso o ejercicio específico. La programación exacta debe ajustarse a las necesidades de la entidad y las expectativas aplicables, y no debe tratarse esta secuencia a modo ilustrativo como calendario obligatorio.
Mantén las actividades conectadas. Un taller que identifica una dependencia de recuperación sin probar debe generar una acción y una futura solicitud de evidencia. La siguiente sesión debería revisar si esa acción cambió la capacidad del servicio. Así se convierte el aprendizaje en un proceso de supervisión continuo. También ayuda a un comprador corporativo a juzgar un curso por las decisiones que apoya, no solo por la cantidad de vídeos, la duración de un certificado o el uso de la palabra cumplimiento por parte de un proveedor.
6. Documenta el aprendizaje y las brechas que quedan
Para cada alumno, conserva la identidad, organización, rol profesional, módulos asignados, versión del curso y fechas de finalización. Registra los resultados de las evaluaciones y el identificador de cualquier certificado de finalización. Mantén el historial de reciclaje y los registros de talleres de empresa diferenciados del curso principal. Un cambio en el título del curso no debe sobrescribir en silencio el significado de un registro de finalización anterior.
El informe corporativo debe mostrar tanto brechas como logros: personas que no han comenzado, módulos sin terminar, evaluaciones fallidas o pendientes, tareas atrasadas y actividades de seguimiento. Un porcentaje de finalización puede ocultar que los directores responsables de un servicio crítico no han completado la formación correspondiente. Utilice el informe para decidir quién necesita apoyo o una actividad diferente; evite tratarlo como una puntuación de cumplimiento normativo.
La evidencia tiene límites. El tiempo en una página no es prueba de comprensión. Una evaluación de respuestas seleccionadas valora decisiones concretas; no establece la competencia frente a cualquier incidente real. El razonamiento escrito y la discusión guiada pueden descubrir suposiciones, pero el registro debe reflejar si de verdad se revisaron esas respuestas. Si un administrador de empresa registra la asistencia a un taller, etiquételo como atestación del administrador. Consulte nuestro guía sobre certificados de formación DORA para un límite práctico entre la evidencia de finalización y las afirmaciones de certificación no respaldadas.
7. Ejemplo: un consejo responde a una dependencia cloud modificada
Una aseguradora ficticia planea una actualización rutinaria de liderazgo en noviembre. En marzo, un cambio de proveedor hace que dos servicios orientados al cliente dependan de la misma plataforma de identidad. En abril, un ejercicio de recuperación restaura los datos con éxito pero no prueba la pérdida de dicha plataforma. El responsable de formación identifica que los directores pueden interpretar los dos contratos de servicio como evidencia de recuperación independiente. La carencia de aprendizaje es asumir erróneamente dependencias comunes.
La entidad organiza una breve sesión informativa y un ejercicio de mesa para el consejo antes de aprobar la decisión de renovación. Los participantes cartografían la dependencia compartida, cuestionan la estimación de recuperación e identifican las evidencias necesarias. El registro recoge la fecha, roles, escenario, decisiones y acciones pendientes. El equipo técnico es responsable de una prueba de recuperación representativa; el propietario del negocio es responsable de la decisión sobre el riesgo residual. El aprendizaje no sustituye ninguna de estas responsabilidades.
En noviembre, la actualización repasa el resultado de esa prueba y las preguntas previas del consejo. Si la exposición sigue sin resolverse, el informe lo refleja. Completar la actualización no convierte un control fallido en uno exitoso. Este ejemplo muestra por qué un calendario regular y el aprendizaje por eventos son complementarios: el calendario aporta continuidad y el desencadenante mantiene el conocimiento pertinente para decisiones que no pueden esperar.
8. Introduce el plan en el espacio de trabajo de la empresa
Usar Curso de Formación para Consejos y Ejecutivos DORA como el programa común de liderazgo, y después añade el contexto de tu empresa. El programa central de la Academia contiene ocho módulos con ejercicios escritos de decisión y una evaluación de escenarios. Unas tres horas es una estimación orientativa de estudio guiado, incluyendo los ejercicios; no es un mínimo legal ni una garantía de suficiencia para todos los puestos.
La sesión de repaso separada para el consejo de administración facilita la revisión de cambios en responsabilidades, supuestos de recuperación y lecciones de proveedores o auditoría. Los administradores pueden asignarla a las personas relevantes y hacer un seguimiento de su finalización por separado del programa original. Los registros de talleres corporativos pueden identificar al facilitador, los participantes, los objetivos y las decisiones después de la sesión. Mantén las acciones operativas no resueltas en tu proceso habitual de gobernanza y documenta también los aprendizajes generados.
Antes de adoptar el plan, haga que los responsables de aprendizaje, riesgo y cumplimiento acuerden su alcance. Decida quién mantiene el calendario, quién recibe los informes atrasados, qué desencadena una actualización dirigida y cómo la próxima revisión evaluará si la comprensión mejoró. Esa responsabilidad es más valiosa que simplemente elegir una fecha recurrente.
Preguntas que hacen los líderes
¿Regular significa una vez al año?
Las disposiciones de formación de DORA no definen un intervalo anual universal. Un repaso anual es una opción útil en muchos programas, y las expectativas supervisoras pueden aportar contexto relevante. Documente la base de su calendario, considere los roles de las personas y el riesgo TIC, y defina cómo los cambios materiales desencadenan formación anticipada. No describa la fecha de renovación estándar de un proveedor como si fuera el texto explícito del reglamento.
¿Hay que repetir todo el curso tras cada cambio?
Ninguna regla universal en estas disposiciones exige repetir un curso idéntico tras cada cambio. Evalúa si el cambio afecta al conocimiento, las habilidades o las decisiones necesarias para el puesto. Un briefing específico, ejercicio de escenario o módulo actualizado puede cubrir la carencia más directamente. Conserva el registro del curso anterior y documenta la nueva actividad de forma separada, incluyendo su propósito y cualquier seguimiento.
¿Completar un repaso prueba que la empresa cumple con DORA?
No. Es evidencia de una actividad de aprendizaje y, cuando sea valorada, del resultado registrado. El cumplimiento organizativo involucra el gobierno, controles y obligaciones aplicables. Un registro de aprendizaje defendible identifica qué se enseñó y evaluó, qué versión se utilizó y qué queda pendiente. Debe apoyar una supervisión informada, no promoverse como sustituto de la misma.
Fuentes y lecturas adicionales
Legislación principal y material supervisor. Los ejemplos prácticos y plantillas de esta guía son sugerencias, no formularios regulatorios prescritos.
- DORA: artículos 5, 13 y 16
- EIOPA Q&A 250–3380: formación y proporcionalidad
- BCE: expectativas sobre conocimientos de la junta bancaria en materia de TIC y seguridad
Esta guía es didáctica. Confirme el alcance de su entidad, el marco aplicable y los requisitos del supervisor con su equipo legal y de cumplimiento.
