Het korte antwoord
DORA Artikel 5(4) vereist dat leden van het bestuursorgaan hun ICT-risicokennis en -vaardigheden op peil houden via gerichte training op regelmatige basis, in verhouding tot het beheerde risico. Er wordt geen universeel jaarlijks tijdsinterval vastgesteld. Kies een gedocumenteerde leerperiode, overweeg toepasselijke toezichthoudende verwachtingen en reageer op materiële veranderingen voor de volgende reguliere opfrisser.
1. Wat de trainingsbepalingen daadwerkelijk vereisen
DORA is van kracht sinds 17 januari 2025. Begin met de reikwijdte en het toepasselijke kader van de financiële entiteit. In het algemene kader betreft artikel 5(4) het vermogen van het bestuursorgaan om ICT-risico's en de impact op de bedrijfsvoering te begrijpen en te beoordelen. Het doel is actuele kennis en onderbouwde oordeelsvorming, niet jaarlijks dezelfde presentatie. De gebruikte bewoordingen geven geen vastgestelde kalenderintervallen aan.
Artikel 13(6) ziet op verplichte ICT-security awareness en training in digitale operationele weerbaarheid voor medewerkers en hoger management. De complexiteit moet passen bij hun takenpakket, met relevante ICT-leveranciers waar relevant inbegrepen. In aanmerking komende entiteiten die het vereenvoudigde kader van artikel 16 volgen, hebben andere bepalingen, waaronder behoeftegestuurde training voor personeel en management in artikel 16(1)(h). Behandel de board-bepaling niet als wettelijke basis voor elke deelnemer of entiteit.
Deze verschillen zijn van belang bij het opstellen van een leeragenda. Een bestuurder, incidentcoördinator en collega van de klantenservice kunnen allen leerbehoefte hebben na hetzelfde incident, maar zij hebben verschillende besluiten en detailniveaus nodig. Een gezamenlijke briefing kan verschillende behoeften ondersteunen; afzonderlijke commerciële aankopen zijn daarmee niet verplicht. Lees de handleiding trainingsvereisten bestuur voordat je een wettelijke verplichting omzet in een inkoop-specificatie.
2. Een jaarlijkse opfrissing is een programmavoorkeur
Een jaarlijkse opfrisser kan zorgen voor een voorspelbare basis voor planning, onboarding-evualuatie en begroting. Het kan bovendien een geschikt moment zijn waarop het bestuur zijn leerprioriteiten evalueert. Echter, dit standaardmoment als enige door DORA toegestane interval presenteren, verwart productontwerp van de aanbieder met de letterlijke tekst van de regelgeving. Leg de keus en motivatie uit en benoem gebeurtenissen die eerder leren noodzakelijk kunnen maken.
Andere toezichtverwachtingen kunnen het besluit beïnvloeden. Zo bespreken de ECB’s gepubliceerde good-practice-verwachtingen voor ICT- en security-expertise van bankbesturen jaarlijkse training. Dat is relevante context voor betrokken banken, maar geen reden om te stellen dat dezelfde regel voor elke financiële entiteit identiek geldt. Het compliance-team moet naast het DORA-kader ook toepasselijk toezichtsmateriaal en nationale vereisten identificeren.
Bij BlueTeam Academy is de jaarlijkse herhaling een planningsadvies. Beheerders kunnen een ander beoordelingsinterval instellen op basis van de rollen en het risicoprofiel van het bedrijf. Die instelling plant een interne toetsverwachting; het bewijst niet dat een bepaalde termijn aan alle verplichtingen voldoet. Een bestuur moet kunnen uitleggen waarom het gekozen ritme logisch is, welke informatie is overwogen en wie het besluit herijkt als de situatie verandert. Een kalender zonder die onderbouwing is een zwak alternatief voor een leerplan.
3. Definieer gebeurtenissen die eerder leren activeren
Een regulier programma moet een route bieden voor veranderingen die tussen geplande sessies plaatsvinden. Denk aan: het lanceren van een belangrijke dienst, wijzigen van cloud- of identity-dependencies, overname van een bedrijf, materieel incident, een terugkerende auditbevinding of een directeur die van functie wisselt. De vraag is of het evenement het kennis- of beslissingsniveau van de betrokken medewerkers verandert. Niet elke technische wijziging behoeft een bestuurscursus, maar significante wijziging vraagt om een beargumenteerde beoordeling.
Overweeg een betaalinstelling die haar herstelomgeving naar hetzelfde cloudplatform brengt als de primaire dienstverlening. De raad heeft twee maanden eerder een continuïteitsmodule afgerond. Nog tien maanden wachten met het behandelen van de nieuwe concentratie kan ertoe leiden dat bestuurders op een herstelveronderstelling vertrouwen die niet meer klopt. Een gerichte briefing en besluitvormingoefening kunnen dit gat dichten zonder het hele programma te herhalen.
Create a simple trigger record: the change, affected service, roles concerned, learning need, proposed activity, owner and completion evidence. Connect it to the normal risk or change-governance process so that it is not dependent on somebody remembering the training calendar. After an incident, use the lessons about decisions and escalation as well as the technical cause. A new procedure matters only if the people expected to use it understand what they must do differently.
4. Plan rondom rollen en financiële diensten
Een bruikbaar plan begint bij de mensen en diensten waarvoor de entiteit verantwoordelijk is. Breng leden van het bestuursorgaan en hun toezichtstaken in kaart. Koppel verantwoordelijkheden van hoger management en operationele rollen met specifieke bewustzijns- of veerkrachtbehoeften. Verbind deze verantwoordelijkheden met diensten, essentiële data, ICT-afhankelijkheden en voorziebare verstoringen. Zo ontstaat een verdedigbaarder plan dan wanneer alle accounts hetzelfde standaardmateriaal krijgen.
Voor het bestuur kan de uitkomst het vermogen zijn om risicobereidheid, investeringen, herstelbewijs en blootstelling aan belangrijke leveranciers te challengen. Voor een incidentcoördinator kan het gaan om betrouwbare classificatie, escalatie en coördinatie via de goedgekeurde procedures van de entiteit. Voor een collega die klantinstructies verwerkt, kan het snel herkennen en rapporteren van een vermoedelijk integriteitprobleem centraal staan. Deze uitkomsten zijn verwant, maar een toets over wachtwoordhygiëne alleen toont geen bestuursniveau oordeelsvorming over herstel of middelen aan.
Gebruik proportionele diepgang. Een verantwoordelijke voor een dienst met complexe gedeelde afhankelijkheden kan meer gedetailleerde scenario-uitwerking nodig hebben dan een inleidend overzicht biedt. Documenteer waar de gemeenschappelijke basis eindigt en een entiteitsspecifieke briefing of workshop begint. Als het juridisch kader nog niet is bevestigd, noteer dat dan als een openstaande actie met een verantwoordelijke. Laat de standaardinstelling van het leersysteem niet lijken op een juridische vaststelling van de scope.
5. Een praktische cyclus van introductie tot opfrissing
Een werkbaar ontwerp start met inductie, gevolgd door een gemeenschappelijke leiderschapsbasis, een bespreking van de werkelijke diensten van de organisatie en een geplande evaluatie van wijzigingen. De gemeenschappelijke basis biedt vocabulaire en besluitvormingsmethoden. De bedrijfsbespreking test of deze methoden toepasbaar zijn op het daadwerkelijke herstelontwerp, leveranciersketen en governance. De terugkerende review vraagt vervolgens wat veranderd is en welke eerder gemaakte aannames nieuw bewijs vereisen.
Als voorbeeld kan een pasbenoemd directeur een board-programma afronden, een servicebriefing bijwonen en de vragen noteren die hij beantwoord wil zien door het management. De bestuurssecretaris of leerverantwoordelijke kan de voortgang controleren t.o.v. de afgesproken data. Bij de volgende geplande evaluatie kan de directeur nagaan of verantwoordelijkheden zijn gewijzigd en welke risicopunten nog open staan, waarna een opfriscursus of gerichte oefening volgt. De timing moet de behoeften van de entiteit en geldende verwachtingen volgen, niet deze illustratieve volgorde als verplichte planning beschouwen.
Houd activiteiten verbonden. Een workshop die een ongeteste herstelafhankelijkheid identificeert, moet leiden tot actie en een toekomstige bewijsaanvraag. Bij een volgende herhaling moet worden bekeken of die actie de dienstcapaciteit heeft veranderd. Zo wordt leren een continu toezichtproces. Het helpt een zakelijke inkoper ook om een cursus te beoordelen op de genomen besluiten, niet alleen het aantal video’s, de lengte van een certificaat of het gebruik van het woord compliance door de aanbieder.
6. Registreer leerpunten en resterende leemtes
Leg per deelnemer vast: identiteit, organisatie, professionele rol, toegewezen modules, cursusversie en afrondingsdata. Noteer resultaten en de identificatiecode van elk certificaat van voltooiing. Houd opfrishistorie en workshopverslagen van het bedrijf los van de hoofdopleiding. Een naamswijziging van het traject mag niet stilletjes eerdere records anders laten lijken.
Het bedrijfsrapport moet zowel hiaten als successen tonen: mensen die niet zijn gestart, onafgemaakte modules, mislukte of lopende toetsen, achterstallige opdrachten en opvolgacties. Een voltooiingspercentage kan verbergen dat directieleden voor een kritieke dienst de relevante training niet hebben afgerond. Gebruik het rapport voor besluitvorming over benodigde ondersteuning of andere acties; zie het niet als een nalevingsscore.
Bewijs heeft grenzen. Tijd besteed op een pagina is geen bewijs van begrip. Een beoordeling met meerkeuzevragen bemonstert bepaalde beslissingen, maar bewijst geen competentie in elk live incident. Schriftelijke onderbouwing en begeleide discussie kunnen aannames aan het licht brengen, maar het verslag moet aangeven of deze daadwerkelijk zijn beoordeeld. Als een bedrijfsbeheerder de workshopdeelname registreert, label dit dan als beheerderverklaring. Zie onze gids voor DORA-trainingscertificaten voor een praktische scheidslijn tussen voltooiingsbewijs en niet-onderbouwde certificeringsclaims.
7. Voorbeeld: een bestuur reageert op een gewijzigde cloudafhankelijkheid
Een fictieve verzekeraar plant een periodieke leiderschapstraining in november. In maart zorgt een leverancierswijziging ervoor dat twee klantgerichte diensten afhankelijk worden van hetzelfde identiteitsplatform. In april wordt er bij een herstel-oefening succesvol data teruggezet, maar uitval van dat platform wordt niet getest. De trainingsverantwoordelijke constateert dat directeuren de twee dienstverleningscontracten mogelijk interpreteren als bewijs van onafhankelijke herstelbaarheid. De leemte in de kennis is het onterechte uitgangspunt over gedeelde afhankelijkheden.
De entiteit organiseert een korte dienstbriefing en een boardoefening vóór de goedkeuring van de verlengingsbeslissing. De deelnemers brengen de gedeelde afhankelijkheid in kaart, dagen de herstelinschatting uit en benoemen het bewijs dat ze nodig hebben. Het verslag legt datum, rollen, scenario, besluiten en onopgeloste acties vast. Het technische team is verantwoordelijk voor een representatieve hersteltest; de business owner beslist over restrisico. Leren vervangt geen van beide verantwoordelijkheden.
In november kijkt de herhalingssessie opnieuw naar het resultaat van die test en naar de eerdere vragen van het bestuur. Als de blootstelling onopgelost blijft, vermeldt het rapport dat. Het afronden van de herhalingssessie maakt een mislukte controle niet alsnog geslaagd. Dit voorbeeld laat zien waarom een vaste kalender en leermomenten bij veranderingen elkaar aanvullen: de kalender zorgt voor continuïteit, terwijl een verandertrigger kennis actueel houdt bij besluiten die niet kunnen wachten.
8. Zet het plan in de bedrijfswerkruimte
Gebruik DORA Bestuurs- & Executive Training zoals het algemene leiderschapsprogramma, voeg dan je bedrijfscontext toe. Het kernprogramma van de Academy bestaat uit acht modules met schriftelijke beslissingsopdrachten en een scenario-assessment. Ongeveer drie uur is een inschatting voor begeleide zelfstudie, inclusief de oefeningen; dit is geen wettelijk minimum of garantie van voldoendheid voor elke rol.
De aparte raad-opfriscursus ondersteunt het herzien van veranderde verantwoordelijkheden, herstelveronderstellingen en lessen van leveranciers of audits. Beheerders kunnen deze aan de relevante personen toewijzen en het apart bijhouden van het oorspronkelijke programma. Notulen van bedrijfsworkshops kunnen na afloop de begeleider, deelnemers, doelstellingen en besluiten identificeren. Houd onopgeloste operationele acties in je reguliere governanceproces vast, evenals de lessen die ze opleverden.
Laat vóór adoptie van het plan de verantwoordelijke eigenaren van leren, risico en compliance akkoord gaan met de scope. Bepaal wie de agenda bijhoudt, wie te laat rapport ontvangt, wat een gerichte update triggert en hoe de volgende beoordeling toetst of het begrip is verbeterd. Dat eigenaarschap is waardevoller dan alleen het plannen van een periodieke datum.
Vragen die leiders stellen
Betekent ‘regelmatig’ één keer per jaar?
De DORA-trainingsbepalingen definiëren geen universeel jaarlijks interval. Een jaarlijkse opfristraining is voor veel organisaties een bruikbare programmakeuze, en relevante toezichtverwachtingen kunnen toepasselijke context toevoegen. Leg de basis van uw schema vast, betrek de functies van de personen en het ICT-risico en definieer hoe materiële wijzigingen eerder leren activeren. Geef de standaardvervaldatum van een leverancier niet weer als de letterlijke tekst van de verordening.
Moet de hele cursus na elke wijziging opnieuw gedaan worden?
Geen enkele algemene regel in deze bepalingen vereist het herhalen van een identieke cursus na elke wijziging. Beoordeel of de wijziging van invloed is op de kennis, vaardigheden of beslissingen die voor de rol nodig zijn. Een gerichte briefing, scenario-oefening of bijgewerkte module kan het gat directer aanpakken. Bewaar het eerdere cursusrecord en registreer de nieuwe activiteit apart, inclusief het doel en eventuele opvolging.
Bewijst een afgeronde opfrisser dat het bedrijf aan DORA voldoet?
Nee. Het is bewijs van een leeractiviteit en, waar beoordeeld, van het vastgelegde toetsingsresultaat. Organisatorische compliance betreft het toepasselijke bestuur, interne beheersing en bredere verplichtingen. Een verdedigbaar leerrecord verduidelijkt wat is onderwezen en getoetst, welke versie is gebruikt en wat onopgelost is gebleven. Het moet geïnformeerde toezicht ondersteunen en niet als vervanging worden gepresenteerd.
Bronnen en verdere literatuur
Primaire wetgeving en toezichtmateriaal. Praktijkvoorbeelden en sjablonen in deze gids zijn suggesties, geen voorgeschreven gereguleerde formulieren.
- DORA: artikelen 5, 13 en 16
- EIOPA Q&A 250–3380: opleiding en proportionaliteit
- ECB: verwachtingen voor ICT- en security-expertise van bankbestuur
Deze gids is educatief. Bevestig de scope, het toepasselijke raamwerk en de toezichteisen van uw entiteit met uw juridische en compliance-team.
