La risposta breve
Un attestato di completamento può dimostrare che una persona identificata ha soddisfatto i criteri documentati dall'ente formatore per una determinata versione del corso. Da solo non dimostra la conformità dell'entità finanziaria a DORA e non equivale a una qualifica approvata dall'UE. Esaminate il programma, la valutazione e la documentazione della formazione, oltre al titolo dell'attestato.
1. Distinguete il completamento del corso dalla conformità dell'organizzazione
Un membro del consiglio può completare un corso pertinente anche se l'organizzazione ha ancora una dipendenza non verificata nel piano di ripristino, un rilievo di audit da risolvere oltre la scadenza o un piano inadeguato per lasciare un fornitore. La formazione può aiutarlo a riconoscere questi problemi e a chiedere spiegazioni. Non li elimina. L'attestato deve descrivere il risultato formativo, senza trasformarlo in un giudizio su tutti i controlli dell'entità.
Le disposizioni di DORA sulla formazione riguardano conoscenze, competenze, attività formative adeguate e responsabilità dei ruoli interessati. Gli articoli 5(4) e 13(6) non prescrivono uno specifico sistema di accreditamento né un esame e una soglia di superamento validi per tutti. L'ente formatore può prevedere una valutazione e rilasciare un attestato, ma deve presentare quei criteri come scelte del proprio programma. Una bandiera dell'UE, un sigillo dall'aspetto ufficiale o la parola «certificato» su una pagina commerciale non dimostrano un'approvazione da parte delle autorità.
Per un'entità finanziaria soggetta al quadro generale, la formazione dell'organo di gestione deve aiutarne i membri a comprendere e valutare i rischi ICT e le conseguenze operative. Per le entità ammesse al quadro semplificato dell'articolo 16 valgono disposizioni diverse, compreso un apposito requisito di formazione per personale e dirigenti. Un attestato non deve indicare l'articolo 5(4) come fondamento applicabile a ogni cliente. Chiarite separatamente l'ambito e il quadro applicabili con chi si occupa delle valutazioni legali e di conformità dell'entità.
2. Indicate con precisione chi ha completato quale formazione
Un attestato utile identifica partecipante, organizzazione, titolo e versione del corso, data di completamento, ente emittente e codice univoco del documento. Il ruolo professionale aiuta a spiegare perché è stata assegnata quella formazione. Se è prevista una valutazione, la documentazione deve riportare il risultato e la soglia di superamento fissata dall'ente formatore. Non basta dichiarare che una persona ha partecipato a una formazione DORA senza spiegare in che cosa consistesse.
L'attestato deve rimanere comprensibile anche dopo le modifiche al catalogo. Chi lo esaminerà in futuro potrebbe dover distinguere un breve corso introduttivo da un programma per dirigenti composto da otto moduli. Entrambi possono produrre un documento, ma i due risultati non sono equivalenti. Il titolo, da solo, è un riferimento storico debole: i nomi commerciali possono cambiare. La versione deve identificare un programma e un sistema di valutazione definiti, che l'ente formatore sia in grado di spiegare.
Distinguete l'identità dai poteri della persona. Completare un corso per il consiglio non dimostra di far parte dell'organo di gestione, di essere autorizzati ad accettare rischi o di possedere uno status professionale verificato da terzi. In BlueTeam Academy il partecipante dichiara il proprio ruolo, che viene conservato nei dati di completamento: non si tratta di una verifica indipendente delle qualifiche. Le aziende devono usare la propria documentazione di governance per confermare le responsabilità di ciascuno e il motivo dell'assegnazione del programma.
3. Andate oltre il certificato: esaminate le prove dell’apprendimento
La domanda importante è che cosa la documentazione permetta di capire sulla formazione svolta, non quanto sia gradevole il PDF. Chiedete moduli assegnati, obiettivi didattici, versione, date di completamento dei moduli, tentativi di valutazione e risultati. Se il programma comprende decisioni scritte o scenari, verificate come vengono conservate le risposte e se qualcuno ne ha esaminato la qualità. La documentazione deve dichiarare chiaramente se questa verifica è avvenuta.
La registrazione del completamento di una pagina può documentare la dichiarazione di averla letta. Una domanda decisionale può mostrare se il partecipante ha scelto una risposta giustificata dagli elementi di una situazione specifica. Una valutazione basata su scenari verifica, attraverso alcune decisioni, come vengono applicati i concetti. Un workshop con un moderatore può far emergere disaccordi e presupposti. Sono informazioni diverse: nessuna va presentata senza spiegazioni come una valutazione indipendente e completa della competenza professionale.
Considerate uno scenario di ripristino: il servizio principale e l'ambiente di ripristino dipendono dallo stesso fornitore di identità cloud. Ricordare il numero di un articolo non dimostra di saper mettere in discussione la stima dei tempi di ripristino. Un esercizio più utile chiede quali dipendenze condivise, operazioni di riconciliazione dei dati e riscontri vadano esaminati prima di accettare l'affermazione della direzione. Conservare il ragionamento del partecipante permette di discuterne il giudizio. Se il ragionamento viene archiviato ma non valutato, l'attestato e la documentazione devono precisarlo.
4. Conservate versioni, tentativi e cronologia degli aggiornamenti
La documentazione della formazione deve restare disponibile anche quando cambiano il corso o l'account del partecipante. Una nuova edizione non deve sovrascrivere una valutazione precedente né trasformare un corso introduttivo completato in una qualifica più ampia. Conservate versione, criteri e dati identificativi rilevanti così come risultavano al momento del rilascio dell'attestato. Se in seguito la persona cambia ruolo, il documento originale deve restare comprensibile come registrazione storica.
Conservate anche i tentativi non superati, invece di mostrare soltanto il punteggio migliore senza contesto. Un risultato positivo successivo dimostra che il partecipante ha poi soddisfatto i criteri del programma. Le difficoltà iniziali restano utili per capire quale supporto offrirgli. Gli amministratori aziendali possono discutere gli argomenti su cui si ripetono gli errori o proporre un altro esercizio. Il rapporto deve descrivere correttamente i risultati, senza trasformare un primo tentativo fallito in un giudizio sulle capacità professionali complessive della persona.
I corsi di aggiornamento devono avere una propria versione e una cronologia distinta dei completamenti. Una data consigliata per il riesame serve a pianificare: non è una scadenza legale automatica dell'attestato. Cambiamenti rilevanti possono richiedere una formazione anticipata. Tenete separati i verbali dei workshop dai corsi completati con valutazione e conservate la traccia delle correzioni. Consultate la guida su con quale frequenza è richiesta la formazione DORA per capire il rapporto tra un calendario regolare, le esigenze dei ruoli e gli aggiornamenti resi necessari dai cambiamenti.
5. Mostrate all'azienda quali attività restano da completare
Chi acquista formazione per l'azienda ha bisogno di più informazioni del numero di attestati scaricati. Il rapporto deve indicare a chi è stata assegnata ciascuna versione, che cosa resta da completare, la scadenza e il risultato. Elencate i moduli non terminati: chi non ha ancora affrontato continuità operativa o controllo dei fornitori si trova in una situazione diversa da chi ha concluso quei moduli ma deve ancora sostenere la valutazione. Nella cronologia devono essere riconoscibili anche le assegnazioni annullate e le iscrizioni non più attive.
Collegate il codice dell'attestato a un tentativo superato e registrato sul server, senza lasciare che il browser dichiari un successo in base al solo stato locale della pagina. I dati devono essere separati per organizzazione: l'amministratore di un'azienda non deve poter recuperare attestati o risposte scritte di un'altra. Ogni partecipante deve poter ottenere la propria documentazione senza accedere ai dati formativi privati dei colleghi.
Per un corso di aggiornamento assegnato, distinguete il completamento precedente dall'attività nuova richiesta dopo l'assegnazione. Altrimenti un vecchio risultato positivo può far apparire subito assolto un nuovo obbligo formativo. Conservate comunque il risultato precedente. Un rapporto aziendale utile aiuta a decidere a chi offrire supporto, quali verifiche successive effettuare e come gestire le attività in ritardo. La percentuale complessiva di completamento non deve diventare una dichiarazione di conformità dell'organizzazione a DORA.
6. Documentate correttamente il contesto aziendale e i workshop
Un programma per dirigenti diventa più utile quando il partecipante lo collega ai servizi finanziari, alle dipendenze e al profilo di rischio dell'entità. L'azienda può descrivere il contesto generale di un servizio e usarlo negli esercizi decisionali. Non inserite nelle note formative dati personali dei clienti, credenziali o dettagli su vulnerabilità sfruttabili. Lo scopo è esaminare decisioni e presupposti, non creare un altro archivio incontrollato di informazioni operative sensibili.
Per un workshop facoltativo, registrate data, durata, moderatore, partecipanti, obiettivi, contesto del servizio e decisioni importanti. Annotate le questioni aperte, i responsabili delle azioni successive e i riscontri attesi. Se i dati vengono inseriti da un amministratore aziendale, indicate che si tratta della sua dichiarazione. La registrazione non deve generare automaticamente l'attestato del corso con valutazione dell'academy né suggerire che l'academy abbia osservato la sessione in modo indipendente.
Le correzioni devono essere tracciabili. Se la presenza è stata attribuita alla persona sbagliata, conservate la correzione motivata o la registrazione dell'annullamento e inserite i dati corretti con la procedura normale. Non cancellate la discrepanza senza lasciarne traccia. Chi verifica deve poter capire l'accaduto, senza presumere che ogni modifica sia un illecito. Un workshop può inoltre far emergere una carenza nei controlli, senza risolverla: tenete separati gli interventi correttivi dalla documentazione della discussione.
7. Domande da porre a un fornitore di formazione DORA
Prima dell'acquisto chiedete all'ente formatore di mostrare una lezione effettiva, una valutazione basata su scenari e un esempio dei dati esportabili. Verificate se il programma affronta le decisioni dell'organo di gestione su rischi, continuità, ripristino, risorse, audit e rapporti con terze parti. La sensibilizzazione generale dei dipendenti può fornire conoscenze utili, ma ha un obiettivo diverso dalla governance dei rischi ICT. Chiarite a quale pubblico si rivolge il corso e quali aspetti richiedono un ulteriore lavoro specifico per l'azienda.
Chiedete come vengono presentate durata e frequenza. Tre ore possono essere una stima di studio comprensiva degli esercizi, non un minimo previsto dalla legge. Un aggiornamento annuale può essere un consiglio pratico, non una frequenza legale universale. Chiedete come vengono aggiornati i contenuti in seguito a cambiamenti rilevanti e come si conservano le versioni precedenti. Se viene dichiarato un accreditamento, fatevi indicare il sistema preciso e verificatene autonomamente l'ambito, senza affidarvi a un semplice marchio.
Infine, provate come funziona la documentazione nella pratica. Gli amministratori possono assegnare i corsi alle persone giuste, vedere i moduli incompleti, esportare i risultati e identificare la versione dell'attestato? I partecipanti possono recuperare i propri dati? La presenza ai workshop è distinta dal superamento della valutazione? Sono spiegati i limiti della correzione automatica? Le risposte aiutano a capire il valore concreto dell'attestato e se il prodotto sostiene la governance, anziché aggiungere soltanto un documento a una cartella.
8. Cosa registra BlueTeam Academy
Formazione DORA in cybersicurezza per amministratori e dirigenti comprende otto moduli, ciascuno con un esercizio scritto e una domanda decisionale, seguiti da una valutazione di 16 domande basate su scenari. Per completare il programma occorre superare le verifiche dei moduli, consegnare gli esercizi scritti e raggiungere almeno l'80% nella valutazione finale. Sono criteri stabiliti dall'academy. Il tempo di studio guidato è stimato in circa tre ore, esercizi e valutazione compresi; il ritmo varia da persona a persona.
L'attestato conserva i dati presenti al momento del rilascio: partecipante, organizzazione, ruolo dichiarato, versione del corso, obiettivi, date di completamento dei moduli e risultato della valutazione. Le risposte scritte vengono conservate, ma la loro qualità professionale non viene valutata automaticamente. Il server crea l'attestato dopo un tentativo superato. Il documento stampabile può essere salvato in PDF dal browser; gli utenti autorizzati possono esportare la documentazione strutturata su cui si basa.
Il rapporto aziendale comprende anche moduli assegnati, attività mancanti, codici degli attestati, cronologia degli aggiornamenti e registrazioni dei workshop. Il corso di aggiornamento aiuta a mantenere attuali le conoscenze; le discussioni specifiche dell'azienda le collegano ai servizi reali. La portata della documentazione è precisa: descrive la formazione dell'academy e i suoi criteri di completamento. Non rappresenta un accreditamento dell'UE, un'abilitazione professionale o un giudizio sulla conformità dell'entità finanziaria a DORA.
Domande che i leader pongono
È richiesto un attestato di formazione DORA approvato dall'UE ai sensi degli articoli 5(4) o 13(6)?
Quelle disposizioni non nominano uno schema di accreditamento obbligatorio né un certificato prescritto. Un fornitore può rilasciare un certificato di completamento sulla base dei propri criteri dichiarati. L’acquirente dovrebbe esaminare programma didattico, valutazione, pertinenza per il ruolo e prove, senza desumere un’approvazione UE dal formato o dalla formulazione del documento.
Un certificato scade dopo dodici mesi?
Un programma può consigliare una frequenza di aggiornamento o di riesame. È diverso dall'affermare che DORA stabilisca per ogni attestato una scadenza legale universale di dodici mesi. Considerate il quadro applicabile, le aspettative di vigilanza, il ruolo, il rischio e i cambiamenti rilevanti. Conservate la data e la versione del completamento originale e registrate la formazione successiva come attività distinta.
La partecipazione a un workshop può sostituire la valutazione basata su scenari?
Nel programma dell'academy la partecipazione a un workshop è separata dal completamento con valutazione e non genera automaticamente un attestato del corso. L'azienda può usare i workshop per approfondire le conoscenze e discutere i ragionamenti. La documentazione deve però precisare che cosa è stato osservato, da chi e con quali criteri. Non presentate la sola partecipazione come un risultato valutato in modo indipendente.
Fonti e letture di approfondimento
Legislazione primaria e materiale di vigilanza. Gli esempi pratici e i modelli in questa guida sono suggerimenti, non moduli regolamentari prescritti.
- DORA: disposizioni su governance e formazione
- EIOPA: Digital Operational Resilience Act
- EIOPA Q&A 250–3380: proporzionalità della formazione
Questa guida è di tipo educativo. Confermare l’ambito, il quadro applicabile e i requisiti di vigilanza della propria entità con il proprio team legale e di compliance.
