Obblighi di formazione DORA per gli amministratori: l’articolo 5(4) spiegato

Inizia dall'entità e dalle persone, non dal catalogo corsi

DORA si applica dal 17 gennaio 2025 a determinate categorie di entità finanziarie, con specifiche esclusioni. Non è una legge sulla formazione rivolta a tutte le imprese europee. Per verificare la tua situazione, parti dall’autorizzazione dell’attività, dall’entità giuridica e dalle norme di vigilanza applicabili. La panoramica di EIOPA su DORA spiega il contesto settoriale; l’articolo 2 ne definisce l’ambito di applicazione.

Prima di assegnare la formazione, documentane l’ambito in una pagina. Indica l’entità regolamentata, il quadro applicabile, gli organi di gestione, i loro membri e chi ha verificato questa corrispondenza. Un programma di gruppo può fornire contenuti comuni, ma l’organo di gestione di una controllata deve comprendere i propri servizi, le dipendenze e le decisioni di sua competenza. Il rapporto sui corsi completati dalla capogruppo estera non dimostra che gli amministratori locali conoscano le procedure di ripristino locali.

Individua i destinatari in base alle responsabilità effettive di governance. L’«organo di gestione» è una nozione giuridica definita all’articolo 3(30), non un modo per indicare chiunque abbia il titolo di manager. Chiedi ai responsabili legali o di governance di confermare quali ruoli vi rientrino nella tua organizzazione. Inserisci i nuovi membri nel registro della formazione appena vengono nominati, senza aspettare la prossima iniziativa del gruppo.

Esiste un’eccezione importante: le entità soggette al quadro semplificato dell’articolo 16 non applicano direttamente gli articoli da 5 a 15. I loro obblighi di formazione e governance derivano dal quadro semplificato e dalle relative norme tecniche. Semplificato non significa senza formazione.

Distingui l’obbligo dal formato della formazione

L’articolo 5(4) collega la formazione regolare e specifica alla capacità di comprendere e valutare i rischi informatici e il loro impatto sull’attività. L’articolo 13(6) riguarda invece i programmi di sensibilizzazione e formazione sulla resilienza destinati al personale e all’alta dirigenza. Nessuna delle due disposizioni stabilisce un numero di ore di formazione annue uguale per tutti.

Questa distinzione conta quando scegli un corso. Il fornitore può offrire un programma coerente, documentare la partecipazione e valutare l’apprendimento. Spetta comunque alla tua azienda verificare che i contenuti siano adatti alle responsabilità e ai rischi dei partecipanti. Un attestato non può convalidare un piano di ripristino che il partecipante non ha mai esaminato, né una dipendenza da un fornitore che il corso non conosce.

Prima di scegliere il formato, definisci cosa i partecipanti dovranno saper fare. Un amministratore dovrebbe saper spiegare quale interruzione di servizio causerebbe i danni maggiori, riconoscere le lacune nelle evidenze presentate dalla direzione e individuare le decisioni che restano di competenza del consiglio durante una crisi. Un dirigente dovrebbe saper applicare le procedure di escalation senza dover cercare regole aziendali che non conosce.

Un programma pratico ha quindi tre livelli: una base concettuale condivisa, un briefing sull'organizzazione stessa e un esercizio decisionale. Lo studio online è adatto al primo livello; un responsabile di servizio e il referente dei rischi possono fornire il secondo; una discussione facilitata mette alla prova il terzo. La combinazione è un esempio di progettazione, non un metodo di erogazione obbligatorio.

Costruisci una matrice formativa intorno alle decisioni prese dalle persone

Usa questa matrice come punto di partenza. Adatta gli esempi alle responsabilità reali della tua azienda e conserva le informazioni operative sensibili nel tuo ambiente di formazione ad accesso controllato. Per ogni riga, individua una persona che verifichi il raggiungimento dell’obiettivo formativo.

Una matrice utile include più di un semplice elenco di moduli. Aggiungi la lingua richiesta, le esigenze di accessibilità, la data della prossima revisione, la versione del materiale, il valutatore e le azioni correttive. Qualcuno può comprendere il vocabolario di base ma avere bisogno di aiuto nell'interpretare un'analisi dell'impatto aziendale. Un'altra persona può possedere un'elevata competenza tecnica ma poca familiarità con la governance del settore finanziario.

Non assegnare a tutti lo stesso percorso di recupero perché una persona ha avuto difficoltà. Descrivi la lacuna con precisione: «Non sa chi autorizza le comunicazioni di emergenza ai clienti» permette di definire un intervento utile; «Serve più consapevolezza sulla cybersicurezza» no. Chiedi al partecipante di rileggere la procedura interna pertinente e poi di spiegare la decisione con parole proprie.

Definisci una frequenza motivata e gli eventi che richiedono un aggiornamento

La risposta definitiva di EIOPA alla domanda DORA 250-3380 collega la frequenza della formazione ai ruoli e al principio di proporzionalità. Per aggiornare i programmi richiama inoltre gli insegnamenti degli incidenti e le informazioni rilevanti sulle minacce. Un calendario, da solo, non basta: documenta sia la cadenza ordinaria sia gli eventi che possono rendere necessaria una formazione anticipata.

Per un consiglio con conoscenze di partenza limitate, una proposta ragionevole è prevedere formazione iniziale alla nomina, un aggiornamento annuale delle basi, incontri mirati prima delle decisioni importanti ed esercitazioni quando l’attività o le minacce lo richiedono. Sono suggerimenti di pianificazione. L’aggiornamento annuale non è una frequenza stabilita dalla legge: un’impresa esposta a molti cambiamenti o a rischi elevati può aver bisogno di interventi molto più frequenti.

• Un nuovo modello operativo, acquisizione o servizio critico introduce dipendenze sconosciute.
• Un incidente rilevante rivela incertezze sui percorsi di escalation, sull’impatto per i clienti o su chi può autorizzare il ripristino.
• Un test dimostra che la soluzione alternativa prevista non funziona con i volumi necessari.
• Un cambio di fornitore modifica la concentrazione, l’accesso ai dati o la fattibilità dell’uscita.
• Un amministratore cambia incarico in un comitato o assume una nuova responsabilità.
• Uno sviluppo legale o regolamentare rilevante cambia le decisioni che il consiglio deve comprendere.

Assegna a una persona il compito di verificare questi eventi. Un registro che invia soltanto promemoria di scadenza rischia di perdere le occasioni di apprendimento più utili. Inserisci un breve campo «esigenze di formazione» nelle proposte di modifica importanti e nelle azioni successive agli incidenti, così il programma potrà adattarsi alla situazione.

Riserva tempo per la discussione. Un briefing di cinque minuti che porta a una decisione chiara e registrata può essere più utile di un’ulteriore ora di slide passive. Ciò non rende cinque minuti sufficienti per l’intero programma; mostra perché rilevanza e comprensione vanno misurati oltre alla durata.

Conserva le evidenze dell’apprendimento e dei cambiamenti che ne sono derivati

Documenta un percorso che un collega possa ricostruire senza chiedere spiegazioni al coordinatore: dal bisogno formativo ai contenuti e alla partecipazione, fino alla valutazione e alle azioni conseguenti. È una struttura che proponiamo per organizzare la documentazione, non un elenco di campi imposto da DORA.

1. Registra i destinatari, il loro ruolo e il motivo dell’assegnazione della formazione.
2. Conserva il programma, la versione dei materiali, la data della formazione e quella della verifica delle fonti.
3. Registra la presenza o il completamento in modo che identifichi il partecipante effettivo.
4. Conserva i risultati della valutazione e un resoconto conciso delle domande utilizzate.
5. Registra le carenze, il responsabile della risoluzione e la data di completamento.
6. Collega la discussione sostanziale alla decisione o al registro delle azioni del consiglio pertinente.

Valuta la capacità di giudizio, non solo la memoria. «Quale articolo riguarda la governance?» verifica una nozione. «Il fornitore dichiara il ripristino, ma la riconciliazione delle transazioni è incompleta: quali evidenze chiedi prima di riprendere il normale servizio?» verifica una distinzione utile per chi decide. I partecipanti possono scegliere soluzioni operative diverse, ma devono riconoscere le incertezze e motivare la scelta.

Ogni percentuale di completamento deve indicare quante persone considera e a quale data si riferisce. «Otto membri su dieci hanno completato il corso di base attuale; per i due nuovi membri è già programmata la formazione iniziale» dice più di «80% conforme». Lo stato della formazione e la conformità normativa sono cose diverse.

Definisci le regole di conservazione e accesso con i responsabili della privacy, degli archivi e della governance. Limita l’accesso alle valutazioni individuali a chi ne ha bisogno. Al consiglio potrebbero bastare una sintesi complessiva e le lacune ancora aperte. Conserva la versione del corso effettivamente seguita, per consentire verifiche successive sui contenuti insegnati.

Esempio svolto: usa una singola interruzione per rivelare i reali bisogni formativi

Immagina questa esercitazione. Alle 09:15 il portale delle transazioni dei clienti di una società finanziaria non è disponibile. Il fornitore dichiara che l’infrastruttura funziona correttamente, ma non può ancora confermare la coerenza delle transazioni in coda. L’assistenza clienti riceve reclami per pagamenti duplicati. Il prossimo aggiornamento alla direzione è previsto tra venti minuti.

Prima decisione: definire il problema in termini di business

Chiedi ai partecipanti di descrivere il servizio coinvolto, i clienti esposti e le conseguenze dell’attesa. Una risposta solida distingue la raggiungibilità del servizio dall’affidabilità delle transazioni e chiarisce cosa ancora non si sa. Se la discussione si riduce subito alla terminologia tecnica del fornitore, serve più lavoro per collegare i fatti tecnici alle conseguenze sull’attività.

Seconda decisione: identificare autorità ed escalation

Chiedi chi può limitare l’elaborazione delle transazioni, chi coordina l’incidente, chi applica la procedura di notifica e quando viene informato il consiglio. I partecipanti devono usare i ruoli e le procedure approvati nella propria organizzazione. Non inventare una scadenza di notifica per l’esercitazione e non subordinare il rispetto di un obbligo già vigente a una riunione plenaria del consiglio, se la squadra competente è già autorizzata ad agire.

Terza decisione: concordare le prove per il ripristino

Il fornitore annuncia che la piattaforma è di nuovo disponibile. Un amministratore dovrebbe chiedere quali riconciliazioni, verifiche operative e tutele dei clienti giustifichino la ripresa. L’esercitazione deve permettere alla direzione di spiegare le opzioni e le loro conseguenze, compresa una ripresa parziale controllata. «Il cruscotto è verde» è un’osservazione, non una giustificazione completa del ripristino.

Concludi con un breve confronto. Il consiglio potrebbe aver capito il percorso di escalation, senza distinguere l’obiettivo di ripristino dall’ultimo risultato dimostrato. Assegna un approfondimento mirato, chiedi al responsabile del servizio di migliorare il rapporto e riesamina la decisione in una riunione successiva. In questo modo colleghi apprendimento, evidenze e migliore supervisione, senza pretendere che una simulazione di discussione dimostri la capacità tecnica di ripristino.

Valuta un corso DORA rispetto alle esigenze del tuo consiglio di amministrazione

Nel capitolato, specifica cosa i partecipanti dovranno saper fare al termine del corso. Chiedi il programma, un esempio di scenario per dirigenti, le fonti normative con la data di verifica, il metodo di valutazione e le informazioni riportate negli attestati. Chiedi inoltre come vengono aggiornati i materiali quando cambiano le norme o le indicazioni della vigilanza.

Cerca confini chiari. Un corso introduttivo dovrebbe indicare quali temi richiedono una discussione specifica per l'organizzazione. Se un fornitore sostiene che completare un singolo modulo rende la tua azienda conforme a DORA, chiedi come abbia valutato il tuo modello operativo, i controlli, i contratti e le evidenze. L'affermazione non può essere giustificata semplicemente erogando una formazione.

Preferisci spiegazioni semplici su disponibilità, integrità dei dati, dipendenze dei servizi, ripristino e responsabilità del rischio rispetto a un ampio glossario. Un consiglio di amministrazione non deve configurare un firewall per mettere in discussione un’ipotesi di ripristino non supportata. Serve invece la sicurezza per chiedere cosa sia stato effettivamente testato dalla direzione e cosa resti incerto.

Il corso Formazione DORA in cybersicurezza per amministratori e dirigenti di BlueTeam Academy propone otto moduli e circa tre ore di studio guidato, centrati sulle decisioni. Usalo per costruire una base comune, poi aggiungi informazioni sui tuoi servizi, confronti specifici per ruolo e un piano di formazione continua. Il completamento documenta un’attività formativa: non è un accreditamento né una prova che l’organizzazione rispetti DORA.

Un piano pratico di 90 giorni per un consiglio già in carica

Questa è una sequenza di lavoro per migliorare il programma, non un periodo di tolleranza normativa. Affronta subito le lacune urgenti se influenzano decisioni già in corso.

Nomina un coordinatore di programma, mantenendo la titolarità sui contenuti alle funzioni competenti. Il coordinatore può sollecitare la conclusione delle attività e mantenere i registri; il referente rischio valida la pertinenza, i responsabili di servizio descrivono la realtà operativa e il presidente tutela il tempo per un confronto significativo. Documenta come si gestiscono assenze, nuovi incarichi e lacune valutative irrisolte.

Nella revisione finale, analizza interamente il registro formativo di un partecipante e un’azione risultante dall’esercitazione. Puoi dimostrare sia che la persona abbia appreso qualcosa di rilevante, sia che l’organizzazione abbia agito sulla questione risultante? Se manca uno dei due collegamenti, miglioralo prima di aggiungere altro contenuto.

Porta queste domande al prossimo consiglio d’amministrazione

• Abbiamo identificato ogni persona il cui ruolo richiede questa formazione?
• Ogni membro sa spiegare la nostra dipendenza ICT più rilevante?
• Il nostro programma include le nostre evidenze di servizio e ripristino?
• Quale incidente recente, test o modifica dovrebbe modificare il piano di formazione?
• Quali lacune formative irrisolte potrebbero influenzare una decisione in questo trimestre?
• Possiamo collegare una formazione a domande più incisive o a un’azione portata a termine?

Utilizza le risposte per definire un’agenda mirata. Un consiglio con solide conoscenze di base può richiedere una discussione dettagliata su un unico fornitore. Un consiglio appena nominato può necessitare delle basi prima di interpretare la dashboard dei rischi. Entrambi dovrebbero saper spiegare perché il programma adottato è adatto alle proprie responsabilità.

Prosegui con la nostra guida alle responsabilità del consiglio secondo DORA e con il modello pratico di cruscotto DORA per il consiglio. Insieme, collegano ciò che gli amministratori apprendono alle decisioni che prendono e alle informazioni che chiedono di ricevere.