Wymogi szkoleniowe DORA dla zarządów: wyjaśnienie art. 5(4)

Zacznij od podmiotu i ludzi, nie katalogu kursów

DORA obowiązuje od 17 stycznia 2025 r. i dotyczy określonych kategorii podmiotów finansowych, z przewidzianymi wyłączeniami. Nie nakłada ogólnego obowiązku szkoleń na wszystkie europejskie firmy. Zacznij od sprawdzenia zezwolenia na działalność, podmiotu prawnego i właściwych przepisów nadzorczych. Omówienie DORA przygotowane przez EIOPA wyjaśnia kontekst branżowy; artykuł 2 określa zakres stosowania rozporządzenia.

Przed przypisaniem szkolenia opisz jego zakres na jednej stronie. Wskaż podmiot regulowany, obowiązujące ramy, organy zarządzające, ich członków i osobę, która zweryfikowała to przyporządkowanie. Program grupowy może zapewnić wspólne treści, ale zarząd spółki zależnej musi rozumieć własne usługi, zależności i decyzje. Raport o ukończeniu szkolenia w zagranicznej spółce matce nie pokazuje, czy lokalni członkowie zarządu znają lokalne procedury odtwarzania.

Dobieraj uczestników na podstawie rzeczywistych obowiązków związanych z zarządzaniem i nadzorem. „Organ zarządzający” to pojęcie prawne określone w art. 3(30), a nie każdy pracownik ze słowem „menedżer” w nazwie stanowiska. Poproś dział prawny lub osoby odpowiedzialne za ład korporacyjny o wskazanie właściwych funkcji w Twojej organizacji. Wpisuj nowych członków do rejestru szkoleń od razu po powołaniu, bez czekania na kolejną akcję szkoleniową w grupie.

Pamiętaj o ważnym wyjątku: podmioty objęte uproszczonymi ramami z artykułu 16 nie stosują bezpośrednio artykułów 5–15. Ich obowiązki szkoleniowe i zasady zarządzania wynikają z uproszczonych ram oraz powiązanych standardów technicznych. Uproszczenie nie oznacza braku szkoleń.

Oddziel wymaganie od formatu szkolenia

Artykuł 5(4) wiąże regularne, ukierunkowane szkolenia z umiejętnością rozumienia i oceny ryzyka ICT oraz jego wpływu na działalność. Artykuł 13(6) odrębnie reguluje programy podnoszenia świadomości i szkolenia z odporności dla pracowników oraz kadry kierowniczej wyższego szczebla. Żaden z tych przepisów nie określa jednakowej dla wszystkich liczby godzin szkoleniowych w roku.

To rozróżnienie ma znaczenie przy zakupie programu. Dostawca może zapewnić spójny program nauczania, rejestr wyników i ocenę. Twoja firma musi nadal określić, czy treść odnosi się do obowiązków i ryzyka uczestników. Certyfikat nie potwierdzi planu odzyskiwania, którego uczestnik nie widział, ani zależności od dostawcy, o której kurs nie ma wiedzy.

Zanim wybierzesz formę szkolenia, określ, co uczestnik ma umieć zrobić. Członek organu zarządzającego powinien wyjaśnić, przerwa w której usłudze spowodowałaby największe szkody, wskazać słabe punkty materiałów przedstawionych przez kierownictwo i rozpoznać decyzje, które podczas zakłócenia nadal należą do organu zarządzającego. Osoba kierująca działaniami powinna umieć zastosować własną procedurę eskalacji, bez szukania reguł w nieznanych dokumentach.

Praktyczny program składa się więc z trzech części: wspólnych podstaw, omówienia własnej organizacji i ćwiczenia decyzyjnego. Nauka online sprawdza się w pierwszej; drugą mogą poprowadzić właściciel usługi i osoba odpowiedzialna za ryzyko; trzecia to moderowana dyskusja. Jest to propozycja organizacji szkolenia, nie obowiązkowa metoda.

Zbuduj matrycę szkoleń wokół decyzji podejmowanych przez ludzi

Poniższa macierz to szablon wyjściowy. Zamień przykłady na rzeczywiste obowiązki firmy i zachowaj poufne szczegóły operacyjne w kontrolowanym środowisku nauki. Każdy wiersz powinien mieć właściciela, który potwierdzi osiągnięcie założonego efektu szkoleniowego.

Użyteczna macierz to więcej niż lista modułów. Dodaj wymagany język, potrzeby dostępności, datę kolejnego przeglądu, wersję materiału, osobę oceniającą i działania naprawcze. Ktoś może rozumieć podstawowe słownictwo, a mimo to potrzebować pomocy w interpretacji analizy wpływu na działalność. Inna osoba może mieć głęboką wiedzę techniczną, ale niewielkie obycie z ładem korporacyjnym sektora finansowego.

Nie kieruj wszystkich na takie samo szkolenie uzupełniające, jeśli trudności miała jedna osoba. Precyzyjnie opisz brak: „Nie potrafi wskazać, kto zatwierdza komunikaty kryzysowe do klientów” prowadzi do konkretnego działania; „Potrzebuje większej świadomości cyberbezpieczeństwa” nie. Poproś uczestnika o ponowne zapoznanie się z właściwą procedurą i wyjaśnienie decyzji własnymi słowami.

Ustal uzasadnioną częstotliwość i zdarzenia wymagające aktualizacji szkolenia

Ostateczna odpowiedź EIOPA na pytanie DORA 250-3380 wiąże częstotliwość szkoleń z pełnioną funkcją i zasadą proporcjonalności. Przy aktualizacji programów odwołuje się też do wniosków z incydentów i istotnych informacji o zagrożeniach. Sam kalendarz nie wystarczy. Zapisz zarówno zwykły cykl szkoleń, jak i zdarzenia, po których trzeba przeprowadzić je wcześniej.

Dla organu zarządzającego z niewielką wiedzą początkową rozsądną propozycją jest szkolenie po powołaniu, coroczne odświeżenie podstaw, krótkie omówienia przed ważnymi decyzjami oraz ćwiczenia, gdy uzasadnia je działalność lub sytuacja zagrożeń. To propozycje harmonogramu. Coroczna powtórka nie jest częstotliwością narzuconą przez prawo. Firma działająca w zmiennych warunkach lub narażona na wysokie ryzyko może potrzebować znacznie częstszych działań.

• Nowy model operacyjny, przejęcie lub krytyczna usługa wprowadzają nieznane zależności.
• Poważny incydent ujawnia niejasności dotyczące eskalacji, skutków dla klientów lub uprawnień do wznowienia działania.
• Test pokazuje, że przewidywana tymczasowa procedura nie działa w wymaganej skali.
• Zmiana dostawcy wpływa na koncentrację, dostęp do danych lub wykonalność wyjścia.
• Członek organu zarządzającego zmienia funkcję w komitecie lub przejmuje nowy zakres obowiązków.
• Istotna zmiana prawna lub nadzorcza wpływa na decyzje wymagające zrozumienia przez zarząd.

Wyznacz osobę, która będzie sprawdzać te zdarzenia. Rejestr wysyłający tylko przypomnienia o terminach pomija wiele wartościowych okazji do nauki. Do istotnych propozycji zmian i działań po incydentach dodaj krótkie pole „potrzeby szkoleniowe”, aby program reagował na rzeczywiste wydarzenia.

Zarezerwuj czas na dyskusję. Pięciominutowe omówienie skutkujące jasną, zapisaną decyzją może być bardziej wartościowe niż kolejna godzina biernej prezentacji. Nie oznacza to, że pięć minut wystarczy dla całego programu; pokazuje, że znaczenie i zrozumienie należy mierzyć równolegle z czasem trwania.

Zachowaj dowody szkolenia oraz to, jakie zmiany nastąpiły potem

Prowadź dokumentację tak, aby współpracownik mógł bez dodatkowych wyjaśnień prześledzić drogę od rozpoznanej potrzeby szkoleniowej przez treści i udział aż do oceny oraz podjętych działań. To proponowany sposób organizacji zapisów, a nie zestaw pól wymagany wprost przez DORA.

1. Zapisz uczestników, pełnione funkcje i powód przypisania szkolenia.
2. Zachowaj program, wersję materiałów, datę szkolenia i datę weryfikacji źródeł.
3. Rejestruj obecność lub ukończenie w sposób identyfikujący rzeczywistego uczestnika.
4. Zachowaj wyniki oceny i zwięzłe podsumowanie wykorzystanych pytań.
5. Zarejestruj luki, osobę odpowiedzialną za ich usunięcie i termin zakończenia.
6. Powiąż merytoryczną dyskusję z odpowiednią decyzją zarządu lub rejestrem działań.

Sprawdzaj umiejętność oceny sytuacji, nie tylko pamięć. Pytanie „Który artykuł dotyczy zarządzania?” sprawdza zapamiętaną informację. „Dostawca zgłasza przywrócenie działania, ale transakcje nie zostały jeszcze w pełni uzgodnione: jakich dowodów potrzebujesz przed wznowieniem normalnej obsługi?” sprawdza ważne rozróżnienie decyzyjne. Uczestnicy mogą wybrać różne rozwiązania, ale powinni rozpoznać niepewność i uzasadnić swój wybór.

Przy wskaźniku ukończenia zawsze podawaj liczbę osób, której dotyczy, i datę. „Ośmiu z dziesięciu członków ukończyło aktualne szkolenie podstawowe; dla dwóch nowo powołanych zaplanowano szkolenie wprowadzające” mówi więcej niż „80% zgodności”. Ukończenie szkolenia i zgodność z przepisami to różne kwestie.

Ustal zasady retencji i dostępu razem z osobami odpowiedzialnymi za prywatność, archiwizację i nadzór. Szczegóły indywidualnych ocen ogranicz wyłącznie do osób, które tego potrzebują; podsumowania dla zarządu mogą obejmować tylko sytuację zbiorczą i niezamknięte braki. Zachowaj historyczną wersję kursu, by późniejszy recenzent mógł sprawdzić, czego dokładnie nauczano.

Przykład: jak jedna awaria ujawnia rzeczywiste potrzeby szkoleniowe

Rozważ to fikcyjne ćwiczenie. Portal transakcji klienta firmy finansowej jest niedostępny o 09:15. Dostawca informuje, że infrastruktura działa poprawnie, lecz nie może jeszcze potwierdzić spójności zleceń oczekujących. Obsługa klienta otrzymuje zgłoszenia dotyczące podwójnych płatności. Następna aktualizacja dla zarządu planowana jest za dwadzieścia minut.

Pierwsza decyzja: zdefiniuj problem w kategoriach biznesowych

Poproś uczestników, by opisali dotkniętą usługę, narażonych klientów i konsekwencje zwłoki. Dobra odpowiedź rozróżnia dostępność usługi od poprawności transakcji oraz wskazuje, czego jeszcze nie wiadomo. Jeśli rozmowa od razu zamienia się w spór o terminologię dostawcy, program powinien lepiej uczyć przekładania faktów technicznych na skutki dla działalności.

Druga decyzja: określ uprawnienia i proces eskalacji

Zapytaj, kto może wstrzymać przetwarzanie transakcji, kto koordynuje incydent, kto stosuje procedurę zgłaszania i kiedy zarząd otrzymuje aktualizację. Uczestnicy powinni korzystać z własnych, zatwierdzonych ról i procedur. Nie wymyślaj terminu zgłoszenia na potrzeby ćwiczenia ani nie czekaj na pełny zarząd, zanim upoważniony zespół będzie mógł wypełnić istniejący obowiązek zgłoszeniowy.

Trzecia decyzja: ustal, jakie dowody pozwolą wznowić działanie

Dostawca informuje, że platforma jest znów dostępna. Członek organu zarządzającego powinien zapytać, jakie uzgodnienia danych, kontrole operacyjne i zabezpieczenia klientów uzasadniają wznowienie obsługi. Ćwiczenie ma pozwolić kierownictwu wyjaśnić możliwe działania i ich skutki, także częściowe wznowienie pod kontrolą. „Wszystkie wskaźniki są zielone” to obserwacja, a nie wystarczające uzasadnienie przywrócenia usługi.

Zakończ krótkim podsumowaniem. Być może zarząd zrozumiał eskalację, ale nie potrafił odróżnić celu odtwarzania od ostatniego zademonstrowanego wyniku. Przydziel ukierunkowane działanie edukacyjne, poproś właściciela usługi o poprawienie raportu i wróć do decyzji na kolejnym posiedzeniu. Dzięki temu powstaje bezpośrednie powiązanie pomiędzy nauką, dowodami a skuteczniejszym nadzorem, bez udawania, że test typu tabletop potwierdza techniczne możliwości odtwarzania.

Sprawdź, czy kurs DORA odpowiada potrzebom Twojego organu zarządzającego

Skorzystaj z opisu zamówienia, który pyta, co uczestnicy będą mogli zrobić po szkoleniu. Poproś o sylabus, przykładowy scenariusz zarządczy, źródła prawne i datę ich przeglądu, sposób oceny oraz zakres informacji widocznych po ukończeniu. Zapytaj, jak dostawca koryguje treści, gdy zmienia się sytuacja prawna lub regulacyjna.

Szukaj wyraźnych granic. Kurs podstawowy powinien zaznaczyć, które kwestie wymagają specyficznej dla organizacji dyskusji. Jeżeli dostawca twierdzi, że ukończenie jednego modułu czyni twoją firmę zgodną z DORA, zapytaj, na jakiej podstawie ocenił twój model operacyjny, zabezpieczenia, umowy i dowody. Twierdzenie nie może być uzasadnione samym dostarczeniem szkolenia.

Wybieraj proste wyjaśnienia dotyczące dostępności, integralności danych, zależności usług, przywracania oraz odpowiedzialności za ryzyko zamiast rozbudowanego słownika. Zarząd nie musi konfigurować zapory, aby podważyć nieuzasadnione założenie dotyczące odtwarzania usług, ale musi mieć pewność, by zapytać, co zostało przetestowane przez kadrę zarządzającą, a co pozostaje niepewne.

Kurs Szkolenie DORA z cyberbezpieczeństwa dla zarządów i kadry kierowniczej BlueTeam Academy obejmuje osiem modułów i około trzech godzin nauki skoncentrowanej na podejmowaniu decyzji. Zbuduj dzięki niemu wspólną podstawę, a następnie dodaj omówienie własnych usług, dyskusje dopasowane do funkcji i plan dalszych szkoleń. Ukończenie jest dowodem nauki, nie akredytacją ani potwierdzeniem zgodności organizacji z DORA.

Praktyczny plan na 90 dni dla obecnego organu zarządzającego

To kolejność działań służących poprawie programu, a nie dodatkowy termin na spełnienie przepisów. Pilne braki wiedzy uzupełniaj od razu, jeśli wpływają na podejmowane już decyzje.

Wyznacz jednego koordynatora programu, pozostawiając jednak odpowiedzialność merytoryczną właściwym funkcjom. Koordynator może pilnować ukończenia i archiwizować dokumentację; lider ds. ryzyka weryfikuje adekwatność, właściciele usług tłumaczą faktyczne realia działania, a przewodniczący dba o czas na merytoryczną dyskusję. Udokumentuj, jak postępowano w przypadku nieobecności, nowych nominacji i nierozwiązanych luk w ocenie.

Podczas końcowego przeglądu wybierz pełny zapis nauki jednego uczestnika i jedno działanie wynikające z ćwiczenia. Czy potrafisz wykazać zarówno, że dana osoba wyniosła coś istotnego, jak i to, że organizacja podjęła działania w odniesieniu do zidentyfikowanego problemu? Jeśli którykolwiek z tych elementów jest nieobecny, popraw go przed dodaniem kolejnych treści.

Przynieś te pytania na następne posiedzenie zarządu

• Czy zidentyfikowaliśmy każdą osobę, której rola wymaga takiego szkolenia?
• Czy każdy członek potrafi wyjaśnić naszą najważniejszą zależność ICT?
• Czy program obejmuje informacje o naszych usługach i dowody ich odtwarzania?
• Który ostatni incydent, test lub zmiana powinny wpłynąć na plan szkoleniowy?
• Jakie nierozwiązane luki edukacyjne mogą wpłynąć na decyzję w tym kwartale?
• Czy możemy powiązać aktywność edukacyjną z lepszym pytaniem lub ukończonym działaniem?

Na podstawie odpowiedzi ustal konkretne tematy spotkania. Organ z mocnymi podstawami może potrzebować szczegółowej rozmowy o jednym dostawcy. Nowo powołany organ może najpierw potrzebować podstaw, aby zrozumieć raport o ryzyku. W obu przypadkach uczestnicy powinni umieć wyjaśnić, dlaczego program pasuje do ich obowiązków.

Przeczytaj też nasz przewodnik opisujący obowiązki organu zarządzającego wynikające z DORA i wykorzystaj praktyczny panel raportowania DORA dla organu zarządzającego. Razem łączą wiedzę zarządu z podejmowanymi decyzjami i informacjami, o które proszą.