DORA-opleidingseisen voor bestuurders: artikel 5(4) uitgelegd

Begin met de organisatie en de mensen, niet met de cursuscatalogus

DORA geldt vanaf 17 januari 2025. De reikwijdte voor de financiële sector is bepaald door entiteitscategorieën en uitzonderingen; DORA is geen algemene trainingswet voor alle Europese bedrijven. Gebruik uw vergunning, rechtspersoon en relevante toezichthoudende bepalingen als uitgangspunt. EIOPA's DORA-overzicht legt de sectorcontext uit; artikel 2 bepaalt op welke entiteiten DORA van toepassing is.

Leg vóór het toewijzen van opleidingen de reikwijdte vast op één pagina. Vermeld de gereguleerde entiteit, het toepasselijke kader, de bestuursorganen, hun leden en wie deze indeling heeft gecontroleerd. Een groepsbreed programma kan gemeenschappelijke inhoud bieden, maar het bestuur van een dochteronderneming moet de eigen diensten, afhankelijkheden en besluiten begrijpen. Een opleidingsrapport van de buitenlandse moedermaatschappij toont niet aan dat lokale bestuurders de lokale herstelafspraken begrijpen.

Bepaal de doelgroep aan de hand van de feitelijke verantwoordelijkheden voor bestuur en toezicht. „Bestuursorgaan” is een juridisch begrip uit artikel 3(30), geen verzamelnaam voor iedereen met „manager” in de functietitel. Laat de juridische afdeling of de verantwoordelijke voor governance bevestigen welke functies er binnen uw organisatie onder vallen. Neem nieuwe leden direct na hun benoeming op in het opleidingsregister, zonder te wachten op de volgende groepsbrede opleidingsronde.

Let op een belangrijke uitzondering: entiteiten die onder het vereenvoudigde kader van artikel 16 vallen, passen de artikelen 5–15 niet rechtstreeks toe. Hun opleidings- en governanceverplichtingen volgen uit dat kader en de bijbehorende technische normen. Vereenvoudigd betekent niet dat opleiding achterwege kan blijven.

Scheid de eis van de opleidingsvorm

Artikel 5(4) verbindt regelmatige, specifieke leertrajecten aan het vermogen om ICT-risico's en hun zakelijke impact te begrijpen en beoordelen. Artikel 13(6) behandelt afzonderlijk bewustwordings- en weerbaarheidstraining voor personeel en senior management. Geen van beide bepalingen noemt een universeel aantal jaarlijkse cursusuren.

Dat onderscheid is van belang bij het inkopen van een programma. Een leverancier kan een samenhangend programma, een leerbewijs en een beoordeling leveren. Uw organisatie moet echter zelf beslissen of de inhoud aansluit bij de verantwoordelijkheden en risicoblootstelling van haar deelnemers. Een certificaat kan geen herstelplan valideren dat de cursist nooit heeft gezien, of een leveranciersafhankelijkheid die de cursus niet kent.

Bepaal vóór de keuze van de opleidingsvorm wat deelnemers aantoonbaar moeten kunnen. Een bestuurder moet kunnen uitleggen welke dienstuitval de meeste schade zou veroorzaken, waar de onderbouwing van het management tekortschiet en welke besluiten tijdens een verstoring bij het bestuur blijven. Een leidinggevende moet de eigen escalatieprocedure kunnen toepassen zonder onbekende beleidsdocumenten te moeten doorzoeken.

Een praktisch programma heeft drie onderdelen: gezamenlijke basiskennis, een toelichting op de eigen organisatie en een besluitvormingsoefening. Online leren past bij het eerste onderdeel. Een dienstverantwoordelijke en een risicomanager kunnen het tweede verzorgen; een begeleide discussie vormt het derde. Dit is een voorgestelde opzet, geen verplichte opleidingsmethode.

Bouw een trainingsmatrix rondom de beslissingen die mensen nemen

Gebruik de volgende matrix als uitgangspunt. Vervang de voorbeelden door de werkelijke verantwoordelijkheden in uw organisatie en bewaar gevoelige operationele informatie binnen uw afgeschermde leeromgeving. Wijs per rij iemand aan die controleert of het leerdoel is bereikt.

Een bruikbare matrix is meer dan een lijst modules. Neem de gevraagde taal, toegankelijkheid, volgende beoordeling, versie van de inhoud, beoordelaar en herstelactie op. Iemand kan de basis begrijpen en toch hulp nodig hebben bij de interpretatie van een business-impactanalyse. Iemand anders heeft diepgaande technische kennis, maar nauwelijks ervaring met governance in de financiële sector.

Geef niet iedereen dezelfde bijscholing omdat één deelnemer moeite had met de stof. Beschrijf precies wat ontbreekt: „Kon niet aangeven wie noodcommunicatie met klanten mag goedkeuren” leidt tot een concrete actie; „Heeft meer cyberbewustzijn nodig” niet. Laat de deelnemer de betreffende interne procedure opnieuw doornemen en de beslissing in eigen woorden uitleggen.

Kies een onderbouwde frequentie en bepaal wanneer extra bijscholing nodig is

Het definitieve antwoord van EIOPA op vraag DORA 250-3380 verbindt de opleidingsfrequentie aan functies en evenredigheid. Bij actualisering van programma’s verwijst het ook naar lessen uit incidenten en relevante dreigingsinformatie. Een kalender alleen is onvoldoende. Leg zowel de vaste cyclus vast als de gebeurtenissen die aanleiding geven tot eerdere bijscholing.

Voor een bestuur met weinig voorkennis is een redelijke interne opzet: een introductieopleiding bij benoeming, een jaarlijkse herhaling van de basis, gerichte toelichtingen vóór belangrijke besluiten en een oefening wanneer de bedrijfsvoering of dreigingen daar aanleiding toe geven. Dit zijn planningsvoorstellen. Jaarlijkse herhaling is geen wettelijk vastgelegde frequentie. Een organisatie met veel veranderingen of hoge risico’s kan veel vaker bijscholing nodig hebben.

• Een nieuw operationeel model, een overname of een kritieke dienst introduceert onbekende afhankelijkheden.
• Een ernstig incident maakt onduidelijkheden zichtbaar over escalatie, gevolgen voor klanten of de bevoegdheid om het herstel goed te keuren.
• Een test wijst uit dat een veronderstelde workaround niet werkt op de vereiste schaal.
• Een andere leverancier verandert concentratierisico’s, de toegang tot gegevens of de mogelijkheden om de samenwerking te beëindigen.
• Een directeur wisselt van commissierol of neemt een nieuwe verantwoordelijkheid op zich.
• Een belangrijke wijziging in wetgeving of toezicht verandert de besluiten die het bestuur moet begrijpen.

Maak iemand verantwoordelijk voor het signaleren van deze gebeurtenissen. Een opleidingsregister dat alleen aan vervaldata herinnert, mist waardevolle leermomenten. Voeg aan belangrijke wijzigingsvoorstellen en acties na incidenten een kort veld „opleidingsbehoefte” toe, zodat het programma kan reageren op wat er gebeurt.

Reserveer tijd voor overleg. Een briefing van vijf minuten die leidt tot een duidelijke, vastgelegde beslissing kan nuttiger zijn dan nog een uur passief dia’s bekijken. Dat betekent niet dat vijf minuten voldoende zijn voor het hele programma; het toont aan waarom relevantie en begrip moeten worden gemeten naast de duur.

Bewaar bewijs van het leren en van de veranderingen die eruit voortkwamen

Leg een samenhangend dossier aan dat een collega zonder nadere uitleg kan volgen: van de vastgestelde leerbehoefte via inhoud en deelname naar de toetsing en vervolgacties. Dit is ons voorstel voor de registratie, geen bewering dat DORA precies deze velden voorschrijft.

1. Leg de doelgroep, functies en reden voor het toewijzen van de opleiding vast.
2. Bewaar het programma, de materiaalversie, de opleidingsdatum en de datum waarop de bronnen zijn gecontroleerd.
3. Registreer aanwezigheid of voltooiing op een manier die de werkelijke deelnemer identificeert.
4. Bewaar beoordelingsresultaten en een beknopt overzicht van de gebruikte vragen.
5. Registreer de hiaten, de verantwoordelijke voor het oplossen ervan en een beoogde afrondingsdatum.
6. Koppel inhoudelijke discussies aan het relevante bestuursbesluit of actielogboek.

Beoordeel zowel oordeelsvorming als geheugen. “Welk artikel regelt governance?” toetst geheugen. “De aanbieder meldt herstel, maar afstemming van transacties is incompleet: welk bewijs vraagt u voordat de dienstverlening wordt hervat?” toetst een belangrijk bestuurlijk onderscheid. Deelnemers hoeven niet altijd dezelfde operationele keuzes te maken, maar moeten onzekerheden herkennen en hun motivatie kunnen uitleggen.

Vermeld bij een voltooiingspercentage altijd het totale aantal betrokken personen en de datum. „Acht van de tien betrokken leden hebben de huidige basisopleiding afgerond; voor twee nieuw benoemde leden is de introductie gepland” zegt meer dan „80% compliant”. De opleidingsstatus en naleving van wetgeving zijn verschillende zaken.

Spreek bewaartermijnen en toegangsregels af met de verantwoordelijken voor privacy, archivering en governance. Beperk inzage in individuele toetsresultaten tot wie deze nodig heeft. Voor het bestuur volstaan mogelijk een totaalbeeld en de resterende kennistekorten. Bewaar de gevolgde cursusversie, zodat later kan worden nagegaan wat daadwerkelijk is behandeld.

Uitgewerkt voorbeeld: gebruik één verstoring om de werkelijke leerbehoeften te achterhalen

Neem deze fictieve oefening. Om 09:15 is het transactieportaal van een financiële onderneming niet beschikbaar. De leverancier meldt dat de infrastructuur goed werkt, maar kan nog niet bevestigen dat de transacties in de wachtrij consistent zijn. De klantenservice krijgt klachten over dubbele betalingen. Over twintig minuten moet de directie opnieuw worden geïnformeerd.

Eerste beslissing: definieer het probleem in bedrijfstermen

Vraag deelnemers welke dienst is geraakt, welke klanten risico lopen en wat uitstel betekent. Een goed antwoord onderscheidt bereikbaarheid van de dienst van betrouwbare transactieverwerking en benoemt wat nog onbekend is. Gaat het gesprek direct alleen over de technische termen van de leverancier, dan moet het programma meer aandacht besteden aan de vertaling van technische feiten naar gevolgen voor de bedrijfsvoering.

Tweede beslissing: bepaal bevoegdheid en escalatie

Vraag wie transactieverwerking kan beperken, wie het incident coördineert, wie de meldprocedure toepast en wanneer de raad van bestuur een update ontvangt. Deelnemers dienen hun eigen goedgekeurde rollen en procedures te volgen. Bedenk geen rapportagedeadline voor de oefening en wacht niet op een voltallige bestuursvergadering als een gemachtigd team aan een bestaande incidentmeldplicht kan voldoen.

Derde beslissing: bepaal welk bewijs nodig is om de dienstverlening te hervatten

De leverancier meldt dat het platform weer beschikbaar is. Een bestuurder moet vragen welke gegevenscontroles, operationele controles en maatregelen ter bescherming van klanten hervatting rechtvaardigen. Laat het management in de oefening verschillende opties en hun gevolgen uitleggen, waaronder gecontroleerde gedeeltelijke dienstverlening. „Het dashboard staat op groen” is een waarneming, geen volledige onderbouwing van herstel.

Sluit af met een korte nabespreking. Mogelijk begreep het bestuur de escalatie wel, maar kon het het hersteldoel niet onderscheiden van het laatst getoonde resultaat. Wijs een gerichte leeractie toe, vraag de servicemanager het rapport te verbeteren en kom later op de beslissing terug. Zo ontstaat een directe koppeling tussen leren, bewijs en beter toezicht zonder te doen alsof een tabletop oefening het technische herstelvermogen bewijst.

Toets een DORA-cursus aan de behoeften van uw bestuur

Gebruik een inkoopvoorstel dat vraagt wat deelnemers na afloop kunnen doen. Vraag om een leerplan, een voorbeeldscenario voor bestuurders, de juridische bronnen en hun beoordelingsdatum, de toetsingsmethode en welke informatie beschikbaar is in de voltooiingsregistraties. Vraag hoe de aanbieder het materiaal aanpast als het juridische of toezichthoudende kader verandert.

Let op duidelijke grenzen. Een basiscursus moet aangeven welke onderwerpen een bespreking binnen de eigen organisatie vereisen. Beweert een aanbieder dat één module uw organisatie DORA-conform maakt? Vraag dan hoe die uw bedrijfsmodel, beheersmaatregelen, contracten en bewijs heeft beoordeeld. Alleen een opleiding aanbieden kan zo’n claim niet onderbouwen.

Kies heldere uitleg over beschikbaarheid, gegevensintegriteit, dienstafhankelijkheden, herstel en verantwoordelijkheid voor risico’s boven een lange begrippenlijst. Een bestuur hoeft geen firewall te kunnen configureren om een ongefundeerde herstelverwachting te betwisten. Het moet wel durven vragen wat het management heeft getest en wat nog onzeker is.

De cursus DORA-cybersecuritytraining voor bestuurders en directieleden van BlueTeam Academy biedt acht modules en ongeveer drie uur begeleide studie, gericht op besluitvorming. Leg daarmee een gezamenlijke basis en voeg een toelichting op uw eigen diensten, gesprekken per functie en een plan voor verdere opleiding toe. Afronding is een bewijs van leren, geen accreditatie en geen bevestiging dat uw organisatie aan DORA voldoet.

Een praktisch 90-dagenplan voor een zittend bestuur

Dit is een volgorde van stappen om een programma te verbeteren, geen wettelijke uitstelperiode. Pak dringende kennistekorten direct aan als ze besluiten beïnvloeden die nu worden genomen.

Wijs één programmacoördinator aan en laat de inhoudelijke verantwoordelijkheid bij de juiste functies. De coördinator bewaakt de afronding en houdt de registratie bij. De risicomanager beoordeelt de relevantie, dienstverantwoordelijken lichten de operationele situatie toe en de voorzitter maakt tijd voor inhoudelijk overleg. Leg vast hoe u omgaat met afwezigheid, nieuwe benoemingen en kennistekorten die bij toetsing naar voren komen.

Bekijk bij de eindcontrole als steekproef het volledige opleidingsdossier van één deelnemer en één actie uit de oefening. Kunt u aantonen dat de deelnemer iets relevants leerde én dat de organisatie het gesignaleerde probleem aanpakte? Versterk een ontbrekende schakel voordat u meer inhoud toevoegt.

Breng deze vragen naar de volgende bestuursvergadering

• Hebben we iedere persoon geïdentificeerd wiens rol dit leertraject vereist?
• Kan ieder lid onze belangrijkste ICT-afhankelijkheid uitleggen?
• Bevat ons programma onze eigen dienst- en herstelbewijzen?
• Welk recent incident, welke test of welke wijziging moet aanleiding zijn om het opleidingsplan aan te passen?
• Welke kennistekorten kunnen een besluit in dit kwartaal beïnvloeden?
• Kunnen we een leeractiviteit koppelen aan kritischere vragen of een afgeronde actie?

Gebruik de antwoorden om een gerichte agenda samen te stellen. Een bestuur met sterke basiskennis heeft mogelijk behoefte aan een diepgaand gesprek over één leverancier. Een pas aangesteld bestuur moet eerst de basis leren, voordat het het risicodashboard kan interpreteren. Beide moeten kunnen uitleggen waarom het programma bij hun verantwoordelijkheden past.

Lees ook onze gids over de DORA-verantwoordelijkheden van het bestuur en gebruik het praktische DORA-dashboard voor bestuursrapportages. Samen verbinden ze wat bestuurders leren aan de beslissingen die ze nemen en aan de informatie die ze wensen te ontvangen.