Het korte antwoord
Een afrondingscertificaat kan aantonen dat een bij naam genoemde persoon aan de vastgelegde criteria van de aanbieder voor een bepaalde cursusversie heeft voldaan. Op zichzelf bewijst het niet dat de financiële entiteit aan DORA voldoet of dat sprake is van een door de EU goedgekeurde kwalificatie. Beoordeel naast de titel ook het lesprogramma, de toetsing en het opleidingsdossier.
1. Onderscheid cursusafronding van naleving door de organisatie
Een bestuurder kan een relevante cursus afronden terwijl de organisatie nog een ongeteste afhankelijkheid in het herstelplan, een te laat opgevolgde auditbevinding of een ontoereikend exitplan voor een leverancier heeft. De opleiding kan helpen die problemen te herkennen en er kritische vragen over te stellen. Ze lost de problemen niet op. Het certificaat moet het opleidingsresultaat beschrijven, zonder daaruit een oordeel over alle beheersmaatregelen van de entiteit af te leiden.
De opleidingsbepalingen van DORA gaan over kennis, vaardigheden, passend leren en de verantwoordelijkheden van de betrokken functies. De artikelen 5(4) en 13(6) schrijven geen specifiek accreditatiestelsel of algemeen geldend examen met een vaste slaaggrens voor. Een aanbieder mag een toets en een afrondingscertificaat aanbieden, maar moet duidelijk maken dat de criteria onderdeel zijn van het eigen programma. Een EU-vlag, een officieel ogend zegel of het woord ‘gecertificeerd’ op een marketingpagina bewijst geen goedkeuring door een toezichthouder.
Bij een financiële entiteit die onder het algemene kader valt, moet de opleiding het leidinggevend orgaan helpen ICT-risico's en hun operationele gevolgen te begrijpen en te beoordelen. Voor entiteiten die in aanmerking komen voor het vereenvoudigde kader van artikel 16 gelden andere bepalingen, waaronder een eigen opleidingsvereiste voor personeel en management. Een certificaat mag artikel 5(4) niet voor iedere klant als toepasselijke grondslag presenteren. Bepaal het toepassingsgebied en het geldende kader afzonderlijk met de verantwoordelijken voor de juridische en compliancebeoordeling van de entiteit.
2. Leg precies vast wie welke opleiding heeft afgerond
Een bruikbaar bewijs van afronding vermeldt de deelnemer, organisatie, cursusnaam, cursusversie, afrondingsdatum, uitgever en een uniek certificaatnummer. De professionele rol geeft context waarom de training werd toegewezen. Indien een toets onderdeel is van de criteria, moet het register het resultaat en de door de aanbieder gehanteerde norm tonen. Vermijd een document dat enkel vermeldt dat de houder aan DORA-training deelnam zonder beschrijving van de inhoud.
Zorg dat het certificaat ook na wijzigingen in de catalogus begrijpelijk blijft. Een latere beoordelaar moet kunnen zien of iemand een kort introductieonderdeel of een programma van acht modules voor leidinggevenden heeft afgerond. Beide kunnen worden vastgelegd, maar zijn niet gelijkwaardig. De titel alleen is een zwakke historische verwijzing, omdat marketingnamen kunnen veranderen. De versie moet verwijzen naar een vastgelegd lesprogramma en een toetsopzet die de aanbieder kan toelichten.
Scheid identiteit van bevoegdheid. Het feit dat iemand een bestuurstraining heeft afgerond, bewijst niet dat diegene lid is van het bestuursorgaan, bevoegd is om risico goed te keuren of extern geverifieerde professionele status heeft. Bij BlueTeam Academy wordt de professionele rol aangeleverd door de cursist en vastgelegd in het voltooiingsbewijs; dit is geen onafhankelijke controle van kwalificaties. Organisaties dienen hun eigen governance-registraties te gebruiken om vast te stellen wie welke plichten heeft en waarom een bepaald programma is toegewezen.
3. Kijk verder dan het certificaat: beoordeel wat het geleerde aantoont
Belangrijker dan de vormgeving van het PDF-bestand is wat de documentatie over het leren laat zien. Vraag naar toegewezen modules, leerdoelen, de cursusversie, afrondingsdata van modules, toetspogingen en resultaten. Bevat het programma schriftelijke beslissingen of scenario's, controleer dan hoe de uitwerkingen worden bewaard en of iemand de kwaliteit heeft beoordeeld. Het dossier moet duidelijk vermelden of die beoordeling heeft plaatsgevonden.
Een registratie van een afgeronde pagina kan vastleggen dat de deelnemer verklaart de inhoud te hebben gelezen. Een beslisvraag kan laten zien of de gekozen reactie wordt ondersteund door de informatie in een concrete situatie. Een scenariotoets onderzoekt aan de hand van enkele beslissingen of de deelnemer begrippen kan toepassen. Een begeleide workshop kan verschillen van inzicht en aannames blootleggen. Dit zijn verschillende aanwijzingen; geen ervan mag zonder toelichting worden gepresenteerd als een volledige, onafhankelijke beoordeling van professionele bekwaamheid.
Neem een herstelscenario waarin de primaire dienst en de herstelomgeving dezelfde identiteitsprovider in de cloud gebruiken. Alleen een artikelnummer kunnen noemen bewijst niet dat een deelnemer de herstelinschatting kritisch kan beoordelen. Een nuttigere oefening vraagt welke gedeelde afhankelijkheden, stappen voor gegevensafstemming en bewijzen nodig zijn voordat de uitspraak van het management wordt aanvaard. Met de bewaarde redenering kan dat oordeel worden besproken. Als de redenering wel wordt opgeslagen maar niet beoordeeld, moeten het certificaat en het dossier dat vermelden.
4. Bewaar versies, toetspogingen en de geschiedenis van opfriscursussen
Opleidingsdossiers moeten beschikbaar blijven bij normale wijzigingen in de cursus of het account van de deelnemer. Een nieuwe editie mag een eerdere beoordeling niet overschrijven of de afronding van een introductiecursus voorstellen als een uitgebreidere kwalificatie. Bewaar de cursusversie, criteria en relevante identiteitsgegevens zoals ze waren bij afgifte van het certificaat. Ook als de deelnemer later van functie verandert, moet het oorspronkelijke document als historisch bewijs begrijpelijk blijven.
Bewaar mislukte pogingen als leerbewijs in plaats van alleen de hoogste score zonder context te tonen. Een latere voldoende toont aan dat de deelnemer uiteindelijk aan de programmavoorwaarden voldeed. Dit maakt eerdere moeite niet irrelevant voor leerondersteuning. Bedrijfsbeheerders willen mogelijk veelgemaakte fouten bespreken of een extra oefening inplannen. Het rapport moet het resultaat juist tonen zonder een mislukte eerste poging op te vatten als oordeel over het bredere professionele vermogen.
Opfriscursussen moeten een eigen versie en voltooiingsgeschiedenis hebben. Een voorgestelde herzieningsdatum is een planningsinstrument, geen automatische wettelijke vervaldatum van een certificaat. Ingrijpende wijzigingen kunnen aanleiding geven tot eerder leren. Workshopregistraties moeten onderscheiden blijven van afgeronde cursusbeoordelingen, en correcties dienen een audittrail te behouden. Zie hoe vaak DORA-training vereist is voor uitleg over de samenhang tussen een vaste planning, functiegebonden behoeften en actualisering naar aanleiding van veranderingen.
5. Laat de organisatie zien welke opleidingen nog openstaan
De organisatie heeft meer informatie nodig dan het aantal gedownloade certificaten. Het rapport moet tonen wie welke versie toegewezen kreeg, wat nog niet is afgerond, wat de deadline is en welk resultaat is behaald. Vermeld de ontbrekende modules: iemand die nog niet bij continuïteit of leverancierstoezicht is aangekomen, bevindt zich in een andere situatie dan iemand die deze modules heeft afgerond maar de toets nog moet maken. Zorg dat ook ingetrokken toewijzingen en niet meer actieve koppelingen van gebruikers aan het bedrijf in de geschiedenis te begrijpen zijn.
Koppel het certificaatnummer aan een geregistreerde, geslaagde toetspoging, in plaats van de browser op basis van de lokale paginastatus succes te laten bevestigen. Beperk de toegang tot de eigen organisatie: een beheerder mag geen certificaten of schriftelijke uitwerkingen van een ander bedrijf kunnen ophalen. Deelnemers moeten hun eigen dossier kunnen verkrijgen zonder toegang tot de privégegevens van collega's.
Voor een toegewezen opfrissing: onderscheid afrondingen van vóór de toewijzing van de nieuwe, verwachte poging na toewijzing. Anders kan een oude afronding de nieuwe leerverplichting onmiddellijk als ‘afgerond’ laten registreren. Tegelijk blijft het eerdere record bewaard. Een bruikbaar bedrijfsrapport ondersteunt besluiten over begeleiding, opvolging en achterstallige leerverplichtingen. Het mag de totale afrondingsscore niet neerzetten als bewijs dat de organisatie DORA-compliant is.
6. Leg de bedrijfssituatie en workshops zorgvuldig vast
Een leiderschapsprogramma wordt relevanter wanneer de deelnemer het verbindt met de financiële diensten, afhankelijkheden en het risicoprofiel van de entiteit. Een bedrijf kan een algemene dienstcontext vastleggen en deze gebruiken in beslissingscases. Plaats geen klantgegevens, inloggegevens of gedetailleerde kwetsbaarheden in een leeropmerking. Het doel is beslissingen en aannames te verkennen, niet een nieuwe ongecontroleerde bron van gevoelige operationele informatie te creëren.
Leg voor een optionele workshop datum, duur, begeleider, deelnemers, doelen, de context van de dienst en belangrijke beslissingen vast. Noteer open vragen, verantwoordelijken voor vervolgacties en het bewijs dat later wordt verwacht. Voert een bedrijfsbeheerder de gegevens in, benoem ze dan als een verklaring van die persoon. De registratie mag niet automatisch het certificaat voor een beoordeelde Academy-cursus opleveren of suggereren dat de Academy de sessie onafhankelijk heeft bijgewoond.
Correcties moeten traceerbaar zijn. Is aanwezigheid bij de verkeerde persoon geregistreerd, bewaar dan de gemotiveerde correctie of de registratie van ongeldigverklaring en voer de juiste gegevens via de normale procedure in. Wis de afwijking niet zonder spoor. Een beoordelaar moet kunnen begrijpen wat er gebeurde, zonder iedere wijziging als wangedrag te zien. Een workshop kan bovendien een tekortkoming in een beheersmaatregel blootleggen zonder die op te lossen. Houd verbeteracties gescheiden van het bewijs dat deelnemers het probleem hebben besproken.
7. Vragen aan een aanbieder van DORA-opleidingen
Vraag vóór de aankoop om een echte les, een scenariotoets en een voorbeeld van een dossierexport. Controleer of de opleiding ingaat op besluiten van het leidinggevend orgaan over risico, continuïteit, herstel, middelen, audit en afspraken met derden. Algemene bewustwordingstraining voor medewerkers kan nuttige kennis bieden, maar heeft een ander leerdoel dan bestuurlijk toezicht op ICT-risico's. Stel vast voor welke doelgroep het product is bedoeld en welke onderwerpen extra werk binnen het eigen bedrijf vragen.
Vraag hoe de aanbieder duur en frequentie omschrijft. Drie uur kan een schatting van de studietijd inclusief oefeningen zijn; het mag niet als wettelijk minimum worden gepresenteerd. Een jaarlijkse opfriscursus kan praktisch advies zijn, maar is daarmee geen algemeen wettelijk voorgeschreven frequentie. Vraag hoe belangrijke wijzigingen tot nieuwe inhoud leiden en hoe oudere versies bewaard blijven. Beroept de aanbieder zich op accreditatie, vraag dan naar het precieze stelsel en controleer onafhankelijk wat het omvat. Vertrouw niet alleen op een algemeen keurmerk.
Test tot slot hoe de documentatie in de praktijk werkt. Kunnen uw beheerders opleidingen aan de juiste personen toewijzen, onafgeronde modules zien, resultaten exporteren en de certificaatversie vaststellen? Kunnen deelnemers hun eigen dossier ophalen? Worden workshopdeelname en toetsing onderscheiden? Legt de aanbieder de grenzen van automatische beoordeling uit? Zo kunt u beoordelen wat het certificaat werkelijk aantoont en of het product uw governance ondersteunt, in plaats van alleen een document aan een map toe te voegen.
8. Wat BlueTeam Academy registreert
DORA-cybersecuritytraining voor bestuurders en directieleden omvat acht modules met elk een schriftelijke oefening en een beslisvraag, gevolgd door een scenariotoets met 16 vragen. Voor afronding moeten de modulechecks worden behaald, de schriftelijke oefeningen worden ingeleverd en minstens 80% op de eindtoets worden gehaald. Dit zijn criteria van de Academy. De geschatte studietijd met de aangeboden begeleiding bedraagt ongeveer drie uur, inclusief oefeningen en toets; deelnemers werken in hun eigen tempo.
Het afrondingscertificaat bewaart de gegevens op het moment van afgifte: deelnemer, organisatie, opgegeven functie, cursusversie, doelen, afrondingsdata van de modules en toetsresultaat. Schriftelijke antwoorden worden bewaard, maar niet automatisch op professionele kwaliteit beoordeeld. De server maakt het certificaat na een geslaagde toetspoging. Het afdrukbare document kan vanuit de browser als PDF worden opgeslagen; bevoegde gebruikers kunnen het onderliggende gestructureerde dossier exporteren.
Het bedrijfsrapport bevat ook toegewezen modules, ontbrekende onderdelen, certificaatnummers, de geschiedenis van opfriscursussen en workshopverslagen. De opfriscursus helpt kennis actueel te houden; bedrijfsspecifieke gesprekken verbinden die kennis met echte diensten. Daar ligt de grens van de documentatie: ze legt de opleiding en de afrondingscriteria van de Academy vast. Ze is geen EU-accreditatie, beroepsvergunning of vaststelling dat de financiële entiteit aan DORA voldoet.
Vragen die leiders stellen
Is er een door de EU goedgekeurd DORA-trainingscertificaat vereist door Artikelen 5(4) of 13(6)?
Deze bepalingen noemen geen verplicht accreditatiestelsel of voorgeschreven certificaat. Een aanbieder kan een certificaat van afronding uitgeven op basis van eigen openbaar gemaakte criteria. De koper moet het lesprogramma, de toetsing, de relevantie voor de rol en het bewijs nagaan, en geen EU-goedkeuring afleiden uit het ontwerp of de bewoordingen van het document.
Verloopt een certificaat na twaalf maanden?
Een programma kan een opfris- of herzieningsinterval aanraden, maar dat is iets anders dan stellen dat DORA elk trainingscertificaat universeel een wettelijke geldigheid van twaalf maanden geeft. Overweeg het geldende kader, toezichtverwachtingen, rol, risico en materiële wijzigingen. Bewaar de oorspronkelijke voltooiingsdatum en versie en noteer latere leeractiviteiten apart.
Kan deelname aan een workshop de scenariotoets vervangen?
In het Academy-programma staat workshopdeelname los van afronding met een beoordeling en levert die niet automatisch een cursuscertificaat op. Een bedrijf kan workshops gebruiken om kennis te verdiepen en redeneringen te bespreken. Het verslag moet aangeven wat is waargenomen, door wie en aan de hand van welke criteria. Stel aanwezigheid niet voor als een onafhankelijk beoordeeld resultaat.
Bronnen en verdere literatuur
Primaire wetgeving en toezichtmateriaal. Praktijkvoorbeelden en sjablonen in deze gids zijn suggesties, geen voorgeschreven gereguleerde formulieren.
- DORA: bepalingen over governance en training
- EIOPA: Digital Operational Resilience Act
- EIOPA Q&A 250–3380: opleidingsproportionaliteit
Deze gids is educatief. Bevestig de scope, het toepasselijke raamwerk en de toezichteisen van uw entiteit met uw juridische en compliance-team.
