Het korte antwoord
Artikel 5(4) van DORA vereist dat leden van het bestuursorgaan hun kennis en vaardigheden rond ICT-risico’s actueel houden met gerichte, regelmatige training die past bij het beheerde risico. Er geldt geen universele jaarlijkse frequentie. Documenteer uw leercyclus, houd rekening met toepasselijke verwachtingen van toezichthouders en reageer op belangrijke veranderingen vóór de volgende geplande opfristraining.
1. Wat de trainingsbepalingen daadwerkelijk vereisen
DORA wordt sinds 17 januari 2025 toegepast. Stel eerst vast of de financiële entiteit binnen de reikwijdte valt en welk kader geldt. Binnen het algemene kader gaat artikel 5(4) over het vermogen van het bestuursorgaan om ICT-risico’s en de gevolgen voor de bedrijfsvoering te begrijpen en te beoordelen. Het doel is actuele kennis en onderbouwd oordeelsvermogen, niet elke twaalf maanden dezelfde presentatie doorlopen. De bepaling legt geen universeel kalenderinterval vast.
Artikel 13(6) behandelt verplichte bewustwording over ICT-beveiliging en training in digitale operationele weerbaarheid voor medewerkers en hoger management. De complexiteit moet bij hun taken passen; waar passend worden relevante ICT-dienstverleners betrokken. Entiteiten die in aanmerking komen voor het vereenvoudigde kader van artikel 16 volgen andere bepalingen, waaronder training voor personeel en management naar behoefte in artikel 16(1)(h). De bepaling voor het bestuursorgaan is niet de wettelijke basis voor iedere deelnemer of entiteit.
Deze verschillen zijn belangrijk voor de opleidingskalender. Een bestuurder, incidentcoördinator en collega van de klantenservice kunnen na dezelfde uitval allemaal scholing nodig hebben, maar nemen andere beslissingen en hebben een ander detailniveau nodig. Een gezamenlijke toelichting kan meerdere behoeften dekken; afzonderlijke aankopen zijn daardoor niet verplicht. Lees de gids over opleidingseisen voor het bestuur voordat u een wettelijke verplichting vertaalt naar inkoopeisen.
2. Jaarlijkse opfristraining is een keuze in het programma
Een jaarlijkse opfristraining biedt een voorspelbare basis voor planning, vervolg op de introductie en budget. Het kan ook het moment zijn waarop het bestuur zijn leerprioriteiten heroverweegt. Wie dit als het enige door DORA toegestane interval presenteert, verwart de inrichting van een commercieel aanbod met de tekst van de verordening. Licht de keuze en de onderbouwing toe en benoem gebeurtenissen die eerdere scholing nodig maken.
Andere verwachtingen van toezichthouders kunnen meewegen. Zo bespreken de door de ECB gepubliceerde goede praktijken over ICT- en beveiligingskennis van bankbesturen jaarlijkse training. Dat is relevant voor betrokken banken, maar rechtvaardigt niet de claim dat dezelfde regel identiek voor iedere financiële entiteit geldt. Het complianceteam moet naast DORA ook toepasselijke toezichtpublicaties en nationale eisen identificeren.
Bij BlueTeam Academy is jaarlijkse opfristraining een planningsadvies. Beheerders kunnen een ander evaluatie-interval kiezen op basis van functies en het risicoprofiel van het bedrijf. De instelling plant een interne evaluatie; ze bewijst niet dat de termijn aan alle verplichtingen voldoet. Het bestuur moet kunnen uitleggen waarom de cyclus passend is, welke informatie is meegewogen en wie de keuze herziet als de blootstelling verandert. Zonder die onderbouwing vervangt een kalender geen opleidingsplan.
3. Bepaal welke gebeurtenissen eerdere scholing nodig maken
Een regulier programma moet rekening houden met veranderingen tussen geplande sessies. Denk aan een nieuwe belangrijke dienst, gewijzigde afhankelijkheden van cloud- of identiteitsdiensten, een overname, een wezenlijk incident, een terugkerende auditbevinding of een bestuurder met een nieuwe functie. Verandert hierdoor de kennis die mensen nodig hebben of de besluiten die van hen worden verwacht? Niet elke technische wijziging vraagt een bestuurscursus, maar belangrijke veranderingen vragen wel een onderbouwde beoordeling.
Denk aan een betaaldienstverlener die zijn herstelomgeving verplaatst naar hetzelfde cloudplatform als de primaire dienst. Het bestuur heeft twee maanden eerder een continuïteitsmodule afgerond. Nog tien maanden wachten met het bespreken van de nieuwe concentratie kan bestuurders laten vertrouwen op een herstelaanname die niet meer klopt. Een gerichte toelichting en beslisoefening kunnen dat kennistekort verhelpen zonder het hele programma te herhalen.
Leg aanleidingen voor opleiding eenvoudig vast: de wijziging, getroffen dienst, betrokken functies, leerbehoefte, voorgestelde activiteit, verantwoordelijke en bewijs van afronding. Koppel dit aan het gewone risico- of wijzigingsproces, zodat het niet afhangt van iemand die aan de opleidingskalender denkt. Gebruik na een incident ook de lessen over besluitvorming en escalatie, naast de technische oorzaak. Een nieuwe procedure heeft pas waarde als de gebruikers begrijpen wat zij anders moeten doen.
4. Plan rondom rollen en financiële diensten
Een bruikbaar plan begint bij de mensen en diensten waarvoor de entiteit verantwoordelijk is. Breng leden van het bestuursorgaan en hun toezichtstaken in kaart. Koppel verantwoordelijkheden van hoger management en operationele rollen met specifieke bewustzijns- of veerkrachtbehoeften. Verbind deze verantwoordelijkheden met diensten, essentiële data, ICT-afhankelijkheden en voorziebare verstoringen. Zo ontstaat een verdedigbaarder plan dan wanneer alle accounts hetzelfde standaardmateriaal krijgen.
Voor het bestuur kan het leerdoel zijn om risicobereidheid, investeringen, herstelbewijs en belangrijke leveranciersrisico’s kritisch te beoordelen. Voor een incidentcoördinator kan het gaan om betrouwbare classificatie, escalatie en afstemming volgens de goedgekeurde procedures. Voor een collega die klantopdrachten verwerkt, kan het doel zijn een vermoedelijk integriteitsprobleem snel te herkennen en te melden. Die doelen hangen samen, maar een toets over wachtwoorden alleen toont geen bestuurlijk oordeelsvermogen over herstel of middelen aan.
Stem het detailniveau af op de behoefte. Een leidinggevende die verantwoordelijk is voor een dienst met ingewikkelde gedeelde afhankelijkheden kan meer scenariowerk nodig hebben dan een inleidend overzicht biedt. Leg vast waar de gezamenlijke basis eindigt en een bedrijfsspecifieke toelichting of workshop begint. Noteer een nog onbevestigd juridisch kader als open actie met een verantwoordelijke. Een standaardinstelling in de leeromgeving bepaalt niet de juridische reikwijdte.
5. Een praktische cyclus van introductie tot opfrissing
Een werkbaar programma begint met een introductie voor nieuwe functiehouders, gevolgd door gezamenlijke basiskennis voor leidinggevenden, een bespreking van de echte diensten en een geplande evaluatie van veranderingen. De basis geeft begrippen en beslismethoden. De bedrijfsbespreking toetst hoe die passen bij het herstelontwerp, de leveranciersketen en de governance. Terugkerende evaluaties stellen vast wat is veranderd en welke eerdere aannames nieuw bewijs nodig hebben.
Een nieuw benoemde bestuurder kan bijvoorbeeld een bestuursprogramma afronden, een toelichting op de diensten bijwonen en vragen voor het management vastleggen. De bestuurssecretaris of opleidingsverantwoordelijke kan de voortgang toetsen aan de afgesproken datums. Bij de volgende evaluatie kan de bestuurder gewijzigde verantwoordelijkheden en open risico’s bespreken, gevolgd door opfristraining of een gerichte oefening. De timing volgt de behoeften en toepasselijke verwachtingen; deze voorbeeldvolgorde is geen verplicht rooster.
Verbind de activiteiten met elkaar. Als een workshop een ongeteste herstelafhankelijkheid blootlegt, hoort daar een actie met een later verzoek om bewijs uit te volgen. De volgende opfristraining moet nagaan of die actie de mogelijkheden van de dienst heeft veranderd. Zo draagt leren bij aan voortdurend toezicht. Dat helpt de zakelijke inkoper een cursus te beoordelen op de beslissingen die hij ondersteunt, in plaats van alleen het aantal video’s, het uiterlijk van het certificaat of het gebruik van het woord compliance door de aanbieder.
6. Registreer leerpunten en resterende leemtes
Bewaar per deelnemer de identiteit, organisatie, beroepsrol, toegewezen modules, cursusversie en afrondingsdatums. Leg toetsresultaten en het nummer van een eventueel certificaat vast. Houd opfristrainingen en bedrijfsworkshops herkenbaar gescheiden van de hoofdcursus. Een gewijzigde cursustitel mag niet stilzwijgend de betekenis van een eerder afrondingsbewijs veranderen.
Het bedrijfsrapport moet zowel hiaten als successen tonen: mensen die niet zijn gestart, onafgemaakte modules, mislukte of lopende toetsen, achterstallige opdrachten en opvolgacties. Een voltooiingspercentage kan verbergen dat directieleden voor een kritieke dienst de relevante training niet hebben afgerond. Gebruik het rapport voor besluitvorming over benodigde ondersteuning of andere acties; zie het niet als een nalevingsscore.
Bewijs heeft grenzen. Tijd op een pagina bewijst geen begrip. Een toets met vooraf bepaalde antwoorden beoordeelt enkele beslissingen, maar stelt geen competentie voor ieder werkelijk incident vast. Schriftelijke argumenten en begeleide gesprekken kunnen aannames blootleggen. Leg wel vast of iemand de antwoorden daadwerkelijk heeft beoordeeld. Registreert een bedrijfsbeheerder workshopdeelname, vermeld dan dat dit diens verklaring is. Lees onze gids voor DORA-trainingscertificaten voor een praktische scheidslijn tussen voltooiingsbewijs en niet-onderbouwde certificeringsclaims.
7. Voorbeeld: een bestuur reageert op een gewijzigde cloudafhankelijkheid
Een fictieve verzekeraar plant een periodieke leiderschapstraining in november. In maart zorgt een leverancierswijziging ervoor dat twee klantgerichte diensten afhankelijk worden van hetzelfde identiteitsplatform. In april wordt er bij een herstel-oefening succesvol data teruggezet, maar uitval van dat platform wordt niet getest. De trainingsverantwoordelijke constateert dat directeuren de twee dienstverleningscontracten mogelijk interpreteren als bewijs van onafhankelijke herstelbaarheid. De leemte in de kennis is het onterechte uitgangspunt over gedeelde afhankelijkheden.
Vóór goedkeuring van de verlenging organiseert de entiteit een korte toelichting op de dienst en een oefening voor het bestuur. Deelnemers brengen de gedeelde afhankelijkheid in kaart, beoordelen de herstelraming kritisch en bepalen welk bewijs nodig is. Het verslag bevat de datum, functies, het scenario, besluiten en open acties. Het technische team is verantwoordelijk voor een representatieve hersteltest; de bedrijfsverantwoordelijke beslist over het restrisico. Scholing vervangt geen van beide verantwoordelijkheden.
In november kijkt de opfristraining terug op het testresultaat en de eerdere vragen van het bestuur. Als het risico onopgelost blijft, vermeldt het rapport dat. Het afronden van training maakt een onwerkzame beheersmaatregel niet werkzaam. Een vaste kalender en scholing naar aanleiding van gebeurtenissen vullen elkaar aan: de kalender biedt continuïteit, terwijl reageren op veranderingen de kennis actueel houdt voor besluiten die niet kunnen wachten.
8. Zet het plan in de bedrijfswerkruimte
Gebruik de cursus DORA-cybersecuritytraining voor bestuurders en directieleden als gezamenlijke basis voor leidinggevenden en voeg daarna uw bedrijfscontext toe. Het kernprogramma van de Academy bestaat uit acht modules met schriftelijke beslisopdrachten en een scenariotoets. Ongeveer drie uur is een schatting voor begeleide zelfstudie, inclusief oefeningen; het is geen wettelijk minimum of garantie dat de omvang voor iedere functie volstaat.
De afzonderlijke opfriscursus voor het bestuur helpt gewijzigde verantwoordelijkheden, herstelaannames en lessen uit leverancierskwesties of audits te beoordelen. Beheerders kunnen hem aan de betreffende personen toewijzen en de afronding apart volgen. Na een bedrijfsworkshop kunnen zij de begeleider, deelnemers, doelen en besluiten vastleggen. Bewaar open operationele acties ook in uw normale governanceproces, naast het opleidingsresultaat dat eruit voortkwam.
Stem vóór invoering van het plan de reikwijdte af met de verantwoordelijken voor opleiding, risico en compliance. Bepaal wie de kalender onderhoudt, wie rapporten over achterstallige opleidingen krijgt, wat een gerichte bijscholing nodig maakt en hoe de volgende evaluatie beter begrip vaststelt. Duidelijke verantwoordelijkheden zijn waardevoller dan alleen een terugkerende datum.
Vragen die leiders stellen
Betekent ‘regelmatig’ één keer per jaar?
De opleidingsbepalingen van DORA leggen geen universele jaarlijkse frequentie vast. Jaarlijkse opfristraining is voor veel organisaties een nuttige programmakeuze; toepasselijke verwachtingen van toezichthouders kunnen meewegen. Onderbouw uw kalender, houd rekening met functies en ICT-risico en leg vast welke belangrijke wijzigingen eerdere scholing vragen. De standaardverlengingsdatum van een aanbieder is niet de letterlijke tekst van de verordening.
Moet de hele cursus na elke wijziging opnieuw gedaan worden?
Geen enkele algemene regel in deze bepalingen vereist het herhalen van een identieke cursus na elke wijziging. Beoordeel of de wijziging van invloed is op de kennis, vaardigheden of beslissingen die voor de rol nodig zijn. Een gerichte briefing, scenario-oefening of bijgewerkte module kan het gat directer aanpakken. Bewaar het eerdere cursusrecord en registreer de nieuwe activiteit apart, inclusief het doel en eventuele opvolging.
Bewijst een afgeronde opfrisser dat het bedrijf aan DORA voldoet?
Nee. Het bewijst een leeractiviteit en, als er is getoetst, het vastgelegde toetsresultaat. Naleving door de organisatie omvat toepasselijke governance, beheersmaatregelen en bredere verplichtingen. Een goed onderbouwd opleidingsdossier vermeldt wat is onderwezen en getoetst, welke versie is gebruikt en wat openstaat. Het ondersteunt geïnformeerd toezicht en mag niet als vervanging daarvan worden gepresenteerd.
Bronnen en verdere literatuur
Primaire wetgeving en toezichtmateriaal. Praktijkvoorbeelden en sjablonen in deze gids zijn suggesties, geen voorgeschreven gereguleerde formulieren.
- DORA: artikelen 5, 13 en 16
- EIOPA Q&A 250–3380: opleiding en proportionaliteit
- ECB: verwachtingen voor ICT- en security-expertise van bankbestuur
Deze gids is educatief. Bevestig de scope, het toepasselijke raamwerk en de toezichteisen van uw entiteit met uw juridische en compliance-team.
