La risposta breve
L’articolo 5(4) di DORA richiede ai membri dell’organo di gestione di mantenere aggiornate le conoscenze e le competenze sul rischio ICT attraverso formazione specifica e regolare, proporzionata al rischio da gestire. Non stabilisce una cadenza annuale universale. Documentate il ciclo scelto, considerate le aspettative di vigilanza applicabili e affrontate i cambiamenti rilevanti prima del successivo aggiornamento programmato.
1. Che cosa richiedono le disposizioni sulla formazione
DORA si applica dal 17 gennaio 2025. Verificate anzitutto se l’ente finanziario rientra nel suo ambito e quale quadro si applica. Nel quadro generale, l’articolo 5(4) riguarda la capacità dell’organo di gestione di comprendere e valutare il rischio ICT e l’impatto sull’attività. L’obiettivo è mantenere conoscenze aggiornate e una capacità di giudizio informata, non ripetere la stessa presentazione ogni dodici mesi. La disposizione non fissa un intervallo di calendario valido per tutti.
L’articolo 13(6) prevede sensibilizzazione obbligatoria sulla sicurezza ICT e formazione sulla resilienza operativa digitale per dipendenti e alta dirigenza. La complessità deve essere adeguata alle rispettive funzioni; ove opportuno, sono coinvolti anche i fornitori ICT interessati. Agli enti ammissibili che adottano il quadro semplificato dell’articolo 16 si applicano disposizioni diverse, tra cui la formazione di personale e dirigenza secondo le esigenze prevista dall’articolo 16(1)(h). La disposizione sull’organo di gestione non è la base giuridica applicabile a ogni partecipante o ente.
Queste distinzioni contano quando preparate il calendario formativo. Dopo la stessa interruzione, un amministratore, un coordinatore degli incidenti e un addetto all’assistenza clienti possono tutti aver bisogno di formazione, ma devono prendere decisioni diverse e richiedono livelli di approfondimento differenti. Una presentazione comune può soddisfare più esigenze, senza imporre acquisti separati. Leggete la guida ai requisiti formativi del consiglio di amministrazione prima di trasformare un obbligo di legge in una specifica d’acquisto.
2. L’aggiornamento annuale è una scelta del programma
Un aggiornamento annuale offre un riferimento prevedibile per la pianificazione, il seguito della formazione iniziale e il budget. Può anche essere il momento in cui il consiglio riesamina le proprie priorità formative. Presentarlo come l’unica cadenza ammessa da DORA, però, confonde la struttura commerciale di un’offerta con il testo del regolamento. Spiegate la scelta, le ragioni che la sostengono e gli eventi che possono anticipare la formazione.
Anche le aspettative delle autorità di vigilanza possono orientare la decisione. Per esempio, le buone pratiche pubblicate dalla BCE sulle competenze ICT e di sicurezza dei consigli delle banche affrontano il tema della formazione annuale. È un riferimento pertinente per le banche interessate, non la prova che una regola identica valga per ogni ente finanziario. Il team di conformità dovrebbe individuare i documenti di vigilanza e i requisiti nazionali applicabili, oltre al quadro DORA.
In BlueTeam Academy, l’aggiornamento annuale è una raccomandazione di pianificazione. Gli amministratori possono scegliere un intervallo diverso in base ai ruoli e al profilo di rischio aziendale. L’impostazione programma una revisione interna, ma non dimostra che quel periodo soddisfi tutti gli obblighi. Il consiglio dovrebbe saper spiegare perché il ciclo è adeguato, quali informazioni ha considerato e chi rivaluterà la scelta se cambia l’esposizione al rischio. Senza questa motivazione, il calendario non sostituisce un piano formativo.
3. Definite gli eventi che richiedono formazione anticipata
Un programma regolare deve prevedere come affrontare i cambiamenti tra una sessione e l’altra. Può trattarsi dell’avvio di un servizio importante, di una modifica alle dipendenze da servizi cloud o dalla gestione delle identità, di un’acquisizione, di un incidente rilevante, di un rilievo di audit ricorrente o di un amministratore che assume un nuovo ruolo. Chiedetevi se l’evento cambia le conoscenze o le decisioni attese dalle persone coinvolte. Non ogni modifica tecnica richiede un corso per il consiglio, ma i cambiamenti significativi richiedono una valutazione motivata.
Considerate un ente che offre servizi di pagamento e trasferisce l’ambiente di ripristino sulla stessa piattaforma cloud del servizio principale. Il consiglio ha completato il modulo sulla continuità due mesi prima. Attendere altri dieci mesi per discutere la nuova concentrazione può lasciare gli amministratori ancorati a un’ipotesi di ripristino ormai superata. Una presentazione mirata e un esercizio decisionale possono colmare la lacuna senza ripetere l’intero programma.
Registrate in modo semplice ciò che richiede nuova formazione: cambiamento, servizio interessato, ruoli coinvolti, bisogno formativo, attività proposta, responsabile e prova del completamento. Collegate il registro ai normali processi di gestione dei rischi o dei cambiamenti, senza dipendere dalla memoria di chi segue il calendario dei corsi. Dopo un incidente, considerate gli insegnamenti sulle decisioni e sull’escalation, oltre alla causa tecnica. Una nuova procedura è utile solo se chi deve applicarla comprende che cosa fare diversamente.
4. Pianificate in base ai ruoli e ai servizi finanziari
Un piano utile parte dalle persone e dai servizi di cui l’ente risponde. Individuate i membri dell’organo di gestione e i loro compiti di supervisione. Descrivete le responsabilità dell’alta dirigenza e i ruoli operativi che richiedono sensibilizzazione o competenze specifiche di resilienza. Collegate queste responsabilità ai servizi, ai dati importanti, alle dipendenze ICT e alle interruzioni prevedibili. Ne risulta un piano più motivato rispetto all’assegnazione dello stesso contenuto a tutti gli account della directory.
Per il consiglio, il risultato atteso può essere la capacità di esaminare criticamente la propensione al rischio, gli investimenti, le prove di ripristino e le esposizioni rilevanti ai fornitori. Per chi coordina gli incidenti, può essere la capacità di classificare, segnalare ai livelli competenti e coordinare in modo affidabile, seguendo le procedure approvate. Per chi gestisce le disposizioni dei clienti, può essere riconoscere e segnalare subito un sospetto problema di integrità. Sono risultati collegati, ma un test sulle password da solo non dimostra la capacità del consiglio di valutare ripristino e risorse.
Adattate il livello di approfondimento al bisogno. Un dirigente responsabile di un servizio con dipendenze condivise complesse può richiedere esercitazioni più dettagliate di una panoramica introduttiva. Precisate dove termina il percorso comune e dove inizia la presentazione o il workshop specifico per l’ente. Se il quadro giuridico non è ancora confermato, registrate il punto come un’attività aperta con un responsabile. Non presentate l’impostazione predefinita della piattaforma come una determinazione giuridica dell’ambito applicabile.
5. Un ciclo pratico dalla formazione iniziale all’aggiornamento
Un modello praticabile inizia con la formazione per chi entra nel ruolo, seguita da un percorso comune per i dirigenti, da una discussione sui servizi reali dell’ente e da una revisione programmata dei cambiamenti. Il percorso comune fornisce concetti e metodi decisionali. La discussione aziendale verifica come applicarli al modello di ripristino, alla catena dei fornitori e agli assetti di governance. Le revisioni periodiche esaminano che cosa è cambiato e quali ipotesi precedenti richiedono nuove prove.
Per esempio, un amministratore appena nominato potrebbe completare il programma per il consiglio, partecipare a una presentazione dei servizi e annotare le domande a cui vuole che la dirigenza risponda. Il segretario del consiglio o il responsabile della formazione potrebbe verificare i progressi rispetto alle scadenze concordate. Alla revisione successiva, l’amministratore potrebbe esaminare responsabilità cambiate e rischi irrisolti, per poi seguire un aggiornamento o un’esercitazione mirata. I tempi devono rispondere ai bisogni dell’ente e alle aspettative applicabili: questa sequenza è un esempio, non un calendario obbligatorio.
Collegate le attività tra loro. Un workshop che individua una dipendenza di ripristino non testata dovrebbe generare un’azione e una successiva richiesta di prove. Nell’aggiornamento seguente, verificate se l’azione ha modificato le capacità del servizio. La formazione diventa così parte della supervisione continua. Questo aiuta anche chi acquista il corso per l’azienda a valutarlo per le decisioni che sostiene, non soltanto per il numero di video, l’aspetto del certificato o l’uso della parola conformità da parte del fornitore.
6. Documentate la formazione e le lacune ancora aperte
Per ogni partecipante, conservate identità, organizzazione, ruolo professionale, moduli assegnati, versione del corso e date di completamento. Registrate i risultati delle valutazioni e l’identificativo dell’eventuale certificato. Mantenete distinguibili dal corso principale lo storico degli aggiornamenti e i verbali dei workshop aziendali. Cambiare il titolo del corso non deve alterare in silenzio il significato di un completamento già registrato.
Il report aziendale dovrebbe mostrare le lacune oltre ai risultati: persone che non hanno iniziato, moduli incompleti, valutazioni non superate o ancora da svolgere, attività formative scadute e azioni successive. La percentuale di completamento può nascondere che gli amministratori responsabili di un servizio critico non hanno seguito la formazione pertinente. Usate il report per decidere chi ha bisogno di supporto o di un’attività diversa, senza trattarlo come un punteggio di conformità normativa.
Le evidenze hanno dei limiti. Il tempo trascorso su una pagina non prova la comprensione. Un test con risposte predefinite valuta alcune decisioni, non la competenza in ogni incidente reale. Ragionamenti scritti e discussioni guidate possono rivelare ipotesi, ma la documentazione deve indicare se le risposte sono state davvero esaminate. Se un amministratore registra la presenza a un workshop, precisate che si tratta della sua attestazione. Consultate la nostra guida ai certificati di formazione DORA per distinguere le prove di completamento dalle affermazioni di certificazione prive di fondamento.
7. Esempio: il consiglio affronta una dipendenza cloud modificata
Un’assicurazione fittizia programma l’aggiornamento periodico dei dirigenti per novembre. A marzo, un cambio di fornitore rende due servizi rivolti ai clienti dipendenti dalla stessa piattaforma di identità. Ad aprile, un’esercitazione ripristina i dati, ma non verifica la perdita della piattaforma. Il responsabile della formazione individua il rischio che gli amministratori interpretino due contratti di servizio come prova di ripristino indipendente. La lacuna da colmare è un’ipotesi errata sulle dipendenze comuni.
Prima di approvare il rinnovo, l’ente organizza una breve presentazione del servizio e un’esercitazione per il consiglio. I partecipanti mappano la dipendenza condivisa, esaminano criticamente la stima di ripristino e individuano le prove necessarie. Il verbale registra data, ruoli, scenario, decisioni e azioni aperte. Il team tecnico è responsabile di un test di ripristino rappresentativo; il responsabile di business decide sul rischio residuo. La formazione non sostituisce nessuna delle due responsabilità.
A novembre, l’aggiornamento riprende l’esito del test e le precedenti domande del consiglio. Se l’esposizione resta irrisolta, il report lo indica. Completare il corso non rende efficace un controllo che non funziona. Il caso mostra perché calendario regolare e formazione legata agli eventi devono procedere insieme: il calendario dà continuità, mentre i cambiamenti mantengono le conoscenze utili per decisioni che non possono aspettare.
8. Inserite il piano nello spazio aziendale
Usate il corso Formazione DORA in cybersicurezza per amministratori e dirigenti come percorso comune per i dirigenti, poi integrate il contesto della vostra azienda. Il programma principale dell’Academy comprende otto moduli, esercizi decisionali scritti e una valutazione per scenari. Circa tre ore è la stima dello studio guidato, esercitazioni comprese: non un minimo di legge né una garanzia di adeguatezza per ogni ruolo.
Il corso separato di aggiornamento per gli organi di gestione aiuta a rivedere responsabilità modificate, ipotesi di ripristino e insegnamenti sui fornitori o emersi dagli audit. Gli amministratori possono assegnarlo alle persone interessate e tracciarne il completamento separatamente dal programma iniziale. Dopo un workshop aziendale possono registrare facilitatore, partecipanti, obiettivi e decisioni. Mantenete anche le azioni operative ancora aperte nel normale processo di governance, oltre a documentare la formazione che hanno generato.
Prima di adottare il piano, fate concordare l’ambito ai responsabili della formazione, dei rischi e della conformità. Stabilite chi mantiene il calendario, chi riceve i report sulle attività scadute, che cosa richiede un aggiornamento mirato e come la revisione successiva valuterà i progressi nella comprensione. Definire queste responsabilità vale più che fissare soltanto una data ricorrente.
Domande che i leader pongono
Regolare significa una volta all’anno?
Le disposizioni DORA sulla formazione non fissano una cadenza annuale universale. Un aggiornamento annuale è una scelta utile per molte organizzazioni; le aspettative di vigilanza applicabili possono orientarla ulteriormente. Documentate la motivazione del calendario, considerate ruoli e rischio ICT e stabilite quali cambiamenti rilevanti anticipano la formazione. Non presentate la data standard di rinnovo del fornitore come il testo esplicito del regolamento.
L’intero corso deve essere ripetuto dopo ogni cambiamento?
Queste disposizioni non contengono una regola universale che imponga di ripetere lo stesso corso dopo ogni cambiamento. Valutate se il cambiamento incide sulle conoscenze, sulle competenze o sulle decisioni attese nel ruolo. Una presentazione mirata, un’esercitazione per scenari o un modulo aggiornato possono rispondere più direttamente al bisogno. Conservate il completamento precedente e registrate a parte la nuova attività, con il suo scopo e le azioni successive.
Un corso di aggiornamento completato dimostra che l’azienda rispetta DORA?
No. Dimostra un’attività formativa e, se è stata svolta una valutazione, il risultato registrato. La conformità dell’organizzazione riguarda governance, controlli e obblighi più ampi. Una documentazione solida indica i contenuti insegnati e valutati, la versione usata e i punti ancora aperti. Deve sostenere una supervisione informata, senza essere presentata come suo sostituto.
Fonti e letture di approfondimento
Legislazione primaria e materiale di vigilanza. Gli esempi pratici e i modelli in questa guida sono suggerimenti, non moduli regolamentari prescritti.
- DORA: Articoli 5, 13 e 16
- EIOPA Q&A 250–3380: formazione e proporzionalità
- ECB: aspettative di competenze ICT e sicurezza nel consiglio delle banche
Questa guida è di tipo educativo. Confermare l’ambito, il quadro applicabile e i requisiti di vigilanza della propria entità con il proprio team legale e di compliance.
