Odpowiedź krótka
Art. 5 ust. 4 DORA wymaga, aby członkowie organu zarządzającego utrzymywali aktualną wiedzę i umiejętności dotyczące ryzyka ICT dzięki konkretnym, regularnym szkoleniom proporcjonalnym do zarządzanego ryzyka. Nie wyznacza jednej rocznej częstotliwości dla wszystkich. Udokumentuj wybrany cykl, uwzględnij właściwe oczekiwania nadzorcze i reaguj na istotne zmiany przed kolejnym planowym szkoleniem przypominającym.
1. Czego faktycznie wymagają przepisy szkoleniowe
DORA stosuje się od 17 stycznia 2025 r. Najpierw ustal, czy podmiot finansowy podlega rozporządzeniu i jakie ramy go obejmują. W ramach ogólnych art. 5 ust. 4 dotyczy zdolności organu zarządzającego do rozumienia i oceny ryzyka ICT oraz jego wpływu na działalność. Celem są aktualna wiedza i świadomy osąd, a nie powtarzanie tej samej prezentacji co dwanaście miesięcy. Przepis nie określa jednego odstępu kalendarzowego dla wszystkich.
Art. 13 ust. 6 dotyczy obowiązkowych szkoleń z zakresu świadomości bezpieczeństwa ICT i cyfrowej odporności operacyjnej dla pracowników oraz wyższej kadry kierowniczej. Ich złożoność musi odpowiadać obowiązkom uczestników; w odpowiednich przypadkach włącza się także właściwych dostawców ICT. Podmioty uprawnione do stosowania uproszczonych ram z art. 16 podlegają odrębnym przepisom, w tym szkoleniom personelu i kierownictwa zależnym od potrzeb, określonym w art. 16 ust. 1 lit. h. Nie traktuj przepisu o organie zarządzającym jako podstawy prawnej dla każdego uczestnika lub podmiotu.
Te rozróżnienia mają znaczenie dla kalendarza szkoleń. Po tej samej awarii członek zarządu, koordynator incydentu i pracownik obsługi klienta mogą potrzebować nauki, ale podejmują inne decyzje i wymagają różnego poziomu szczegółowości. Wspólne omówienie może zaspokoić kilka potrzeb; nie oznacza to obowiązku kupowania osobnych kursów. Przeczytaj przewodnik po wymaganiach szkoleniowych zarządu przed opracowaniem wymagań zakupowych na podstawie obowiązku prawnego.
2. Coroczny kurs przypominający to decyzja programowa
Coroczne szkolenie przypominające zapewnia przewidywalny punkt odniesienia dla planowania, dalszego wdrażania nowych członków i budżetu. Może też być okazją do przeglądu priorytetów nauki przez zarząd. Przedstawianie tej częstotliwości jako jedynej dopuszczalnej według DORA myli jednak konstrukcję oferty dostawcy z treścią rozporządzenia. Wyjaśnij wybór, jego uzasadnienie i zdarzenia, które mogą przyspieszyć szkolenie.
Na decyzję mogą wpływać również oczekiwania nadzorcze. Przykładowo opublikowane przez EBC dobre praktyki dotyczące wiedzy zarządów banków o ICT i bezpieczeństwie omawiają coroczne szkolenia. To ważny kontekst dla banków, których dotyczą, a nie podstawa do przypisywania identycznej reguły wszystkim podmiotom finansowym. Zespół zgodności powinien ustalić właściwe materiały nadzorcze i wymagania krajowe obok ram DORA.
W BlueTeam Academy coroczne szkolenie przypominające jest zaleceniem planistycznym. Administratorzy mogą wybrać inną częstotliwość przeglądu zgodnie z rolami i profilem ryzyka firmy. Ustawienie planuje wewnętrzny przegląd, ale nie dowodzi, że dany okres spełnia wszystkie obowiązki. Zarząd powinien umieć wyjaśnić, dlaczego cykl jest odpowiedni, jakie informacje uwzględnił i kto ponownie oceni wybór, jeśli ekspozycja się zmieni. Bez uzasadnienia kalendarz nie zastępuje planu nauki.
3. Określ zdarzenia wymagające wcześniejszego szkolenia
Regularny program powinien uwzględniać zmiany między planowymi sesjami. Przykłady to uruchomienie ważnej usługi, zmiana zależności od chmury lub systemu tożsamości, przejęcie firmy, istotny incydent, powracające ustalenie audytu lub nowa rola członka zarządu. Sprawdź, czy zdarzenie zmienia wiedzę lub decyzje oczekiwane od zainteresowanych osób. Nie każda zmiana techniczna wymaga kursu dla zarządu, ale istotne zmiany wymagają uzasadnionej oceny.
Wyobraź sobie podmiot świadczący usługi płatnicze, który przenosi środowisko odtwarzania na tę samą platformę chmurową co usługę główną. Zarząd ukończył moduł ciągłości działania dwa miesiące wcześniej. Czekanie kolejnych dziesięciu miesięcy na omówienie koncentracji może pozostawić członków zarządu z nieaktualnym założeniem dotyczącym odtwarzania. Krótkie omówienie zmiany i ćwiczenie decyzyjne mogą uzupełnić tę lukę bez powtarzania całego programu.
Zapisuj w prosty sposób zdarzenia wymagające szkolenia: zmianę, usługę, role, potrzebę szkoleniową, proponowane działanie, osobę odpowiedzialną i dowód ukończenia. Połącz ten rejestr ze zwykłym procesem zarządzania ryzykiem lub zmianą, zamiast polegać na pamięci osoby prowadzącej kalendarz szkoleń. Po incydencie uwzględnij wnioski dotyczące decyzji i eskalacji, nie tylko przyczynę techniczną. Nowa procedura ma sens tylko wtedy, gdy osoby, które mają ją stosować, wiedzą, co muszą robić inaczej.
4. Planuj w oparciu o role i usługi finansowe
Dobry plan zaczyna się od osób i usług, za które odpowiada podmiot. Ustal członków organu zarządzającego i ich obowiązki nadzorcze. Opisz odpowiedzialności wyższej kadry kierowniczej oraz role operacyjne wymagające konkretnej wiedzy o bezpieczeństwie lub umiejętności zapewniania odporności. Powiąż je z usługami, ważnymi danymi, zależnościami ICT i przewidywalnymi zakłóceniami. Taki plan jest lepiej uzasadniony niż przypisanie tych samych treści wszystkim kontom w katalogu.
Dla zarządu efektem może być możliwość zakwestionowania apetytu na ryzyko, inwestycji, dowodów odzyskiwania oraz ekspozycji na ważnych dostawców. Dla koordynatora incydentów — wiarygodna klasyfikacja, eskalacja i koordynacja zgodnie z zatwierdzonymi procedurami podmiotu. Dla pracownika obsługującego instrukcje klienta — szybkie rozpoznanie i zgłoszenie podejrzenia naruszenia integralności. Te wyniki są powiązane, ale test dotyczący wyłącznie higieny haseł nie wykazuje, że zarząd ocenia kwestie odzyskiwania czy zasobów.
Dostosuj poziom szczegółowości do potrzeb. Kierownik usługi ze złożonymi, wspólnymi zależnościami może potrzebować dokładniejszych ćwiczeń scenariuszowych niż ogólne wprowadzenie. Ustal, gdzie kończy się wspólny program, a zaczyna omówienie lub warsztat dla konkretnego podmiotu. Niepotwierdzone ramy prawne zapisz jako otwarte zadanie z osobą odpowiedzialną. Domyślne ustawienie platformy szkoleniowej nie stanowi prawnego rozstrzygnięcia zakresu.
5. Praktyczny cykl od wdrożenia w rolę do szkolenia przypominającego
Praktyczny model zaczyna się od wdrożenia w rolę, po którym następują wspólne podstawy dla kadry zarządzającej, omówienie rzeczywistych usług i planowy przegląd zmian. Wspólna część daje pojęcia i metody podejmowania decyzji. Rozmowa w firmie sprawdza ich zastosowanie do modelu odtwarzania, łańcucha dostawców i zasad zarządzania. Przegląd okresowy wskazuje, co się zmieniło i które wcześniejsze założenia wymagają nowych dowodów.
Nowo powołany członek zarządu może na przykład ukończyć program dla zarządów, poznać usługi firmy i zapisać pytania do kierownictwa. Sekretarz zarządu lub osoba odpowiedzialna za szkolenia może sprawdzać postęp względem uzgodnionych terminów. Przy następnym przeglądzie członek zarządu może ocenić zmienione obowiązki i otwarte ryzyka, a potem odbyć szkolenie przypominające lub konkretne ćwiczenie. Terminy powinny wynikać z potrzeb podmiotu i właściwych oczekiwań; ten przykład nie jest obowiązkowym harmonogramem.
Łącz działania ze sobą. Jeśli warsztat ujawni nieprzetestowaną zależność potrzebną do odtworzenia usługi, powinno to prowadzić do zadania i późniejszego żądania dowodów. Kolejne szkolenie przypominające powinno sprawdzić, czy zadanie zmieniło możliwości usługi. Nauka staje się wtedy częścią ciągłego nadzoru. Pomaga to również osobie kupującej kurs dla firmy ocenić wspierane przez niego decyzje, zamiast kierować się wyłącznie liczbą filmów, wyglądem certyfikatu czy użyciem słowa zgodność w ofercie.
6. Rejestruj naukę i pozostałe luki
Zachowaj dla każdego uczestnika dane identyfikacyjne, organizację, rolę zawodową, przypisane moduły, wersję kursu i daty ukończenia. Zapisuj wyniki testów oraz identyfikator wydanego certyfikatu. Oddziel historię szkoleń przypominających i dokumentację warsztatów firmowych od kursu głównego. Zmiana tytułu nie powinna po cichu zmieniać znaczenia wcześniejszego ukończenia.
Raport korporacyjny powinien pokazywać luki oraz sukcesy: osoby, które nie rozpoczęły, nieukończone moduły, niezaliczone lub nierozstrzygnięte oceny, zaległe zadania i działania następcze. Procent ukończenia może maskować fakt, że osoby odpowiedzialne za kluczową usługę nie ukończyły odpowiedniej nauki. Użyj raportu, aby zdecydować, kto wymaga wsparcia lub innej aktywności; nie traktuj go jako oceny zgodności z przepisami.
Dowody mają ograniczenia. Czas na stronie nie dowodzi zrozumienia. Test z gotowymi odpowiedziami sprawdza wybrane decyzje, ale nie potwierdza kompetencji podczas każdego rzeczywistego incydentu. Pisemne uzasadnienia i moderowana rozmowa mogą ujawnić założenia; zapisz jednak, czy ktoś rzeczywiście przejrzał odpowiedzi. Jeżeli administrator potwierdza udział w warsztacie, oznacz zapis jako jego oświadczenie. Przeczytaj nasz przewodnik po certyfikatach szkoleniowych DORA o różnicy między dowodami ukończenia a niepopartymi twierdzeniami o certyfikacji.
7. Przykład: zarząd reaguje na zmianę zależności od chmury
Fikcyjny ubezpieczyciel planuje okresowe szkolenie przypominające dla kierownictwa na listopad. W marcu zmiana dostawcy sprawia, że dwie usługi dla klientów zależą od tej samej platformy tożsamości. W kwietniu ćwiczenie skutecznie odtwarza dane, ale nie sprawdza utraty tej platformy. Osoba odpowiedzialna za szkolenia zauważa, że członkowie zarządu mogą uznać dwie umowy za dowód niezależnego odtwarzania. Luka polega na błędnym założeniu dotyczącym wspólnych zależności.
Podmiot organizuje krótką prezentację usługi i ćwiczenie zarządu przed zatwierdzeniem decyzji o odnowieniu. Uczestnicy mapują wspólną zależność, kwestionują szacunek czasu odtworzenia i identyfikują potrzebne dowody. Zapis dokumentuje datę, role, scenariusz, decyzje i nierozwiązane działania. Zespół techniczny odpowiada za reprezentatywny test odtworzeniowy; właściciel biznesowy za decyzję dotyczącą ryzyka rezydualnego. Nauka nie zastępuje żadnego z tych obowiązków.
W listopadzie szkolenie przypominające wraca do wyniku testu i wcześniejszych pytań zarządu. Jeśli ekspozycja pozostaje nieopanowana, raport to wskazuje. Ukończenie szkolenia nie sprawia, że nieskuteczna kontrola zaczyna działać. Regularny harmonogram i nauka wynikająca ze zdarzeń uzupełniają się: harmonogram zapewnia ciągłość, a reagowanie na zmiany utrzymuje aktualność wiedzy potrzebnej do decyzji, które nie mogą czekać.
8. Dodaj plan do firmowej przestrzeni na platformie
Wykorzystaj kurs Szkolenie DORA z cyberbezpieczeństwa dla zarządów i kadry kierowniczej jako wspólną podstawę dla kadry zarządzającej, a następnie dodaj kontekst swojej firmy. Główny program Akademii obejmuje osiem modułów z pisemnymi ćwiczeniami decyzyjnymi i testem opartym na scenariuszach. Około trzech godzin to szacowany czas nauki według programu, wraz z ćwiczeniami; nie jest to minimum prawne ani gwarancja wystarczającego zakresu dla każdej roli.
Osobny kurs przypominający dla zarządów pomaga przejrzeć zmienione obowiązki, założenia odtwarzania oraz wnioski dotyczące dostawców lub audytu. Administratorzy mogą przypisać go właściwym osobom i śledzić ukończenie niezależnie od pierwotnego programu. Po warsztacie można zapisać prowadzącego, uczestników, cele i decyzje. Otwarte zadania operacyjne zachowaj również w zwykłym procesie zarządzania, obok dokumentacji nauki, którą wywołały.
Przed przyjęciem planu uzgodnij jego zakres z osobami odpowiedzialnymi za szkolenia, ryzyko i zgodność. Ustal, kto prowadzi kalendarz, kto otrzymuje raporty o zaległych szkoleniach, co wymaga ukierunkowanej aktualizacji i jak kolejny przegląd oceni poprawę zrozumienia. Jasny podział odpowiedzialności jest ważniejszy niż samo wskazanie powtarzającej się daty.
Pytania zadawane przez liderów
Czy „regularnie” oznacza raz do roku?
Przepisy DORA dotyczące szkoleń nie wyznaczają jednej rocznej częstotliwości dla wszystkich. Coroczne szkolenie przypominające jest użytecznym rozwiązaniem dla wielu organizacji; właściwe oczekiwania nadzorcze mogą dostarczać dodatkowego kontekstu. Uzasadnij harmonogram, uwzględnij role i ryzyko ICT oraz ustal, jakie istotne zmiany wymagają wcześniejszej nauki. Standardowa data odnowienia u dostawcy nie jest dosłownym brzmieniem rozporządzenia.
Czy cały kurs musi być powtarzany po każdej zmianie?
Żaden uniwersalny przepis w tych regulacjach nie wymaga powtarzania identycznego kursu po każdej zmianie. Oceń, czy zmiana wpływa na wiedzę, umiejętności lub decyzje na danym stanowisku. Krótkie szkolenie celowane, ćwiczenie scenariuszowe lub zaktualizowany moduł mogą lepiej wypełnić tę lukę. Zachowaj wcześniejszy zapis ukończenia kursu i osobno odnotuj nową aktywność, jej cel i ewentualne dalsze kroki.
Czy ukończenie szkolenia odświeżającego dowodzi zgodności firmy z DORA?
Nie. To dowód aktywności szkoleniowej i — jeśli przeprowadzono test — zapisanego wyniku. Zgodność organizacji obejmuje właściwe zasady zarządzania, kontrole i szersze obowiązki. Rzetelna dokumentacja wskazuje, czego uczono, co oceniono, jakiej wersji użyto i jakie kwestie pozostają otwarte. Powinna wspierać świadomy nadzór, a nie zastępować go w deklaracjach marketingowych.
Źródła i materiały dodatkowe
Ustawa nadrzędna i materiały nadzorcze. Przykłady praktyczne i szablony w tym przewodniku są sugestiami, nie narzuconymi wzorami regulacyjnymi.
- DORA: artykuły 5, 13 i 16
- EIOPA Q&A 250–3380: szkolenie i proporcjonalność
- EBC: oczekiwania wobec wiedzy zarządów banków w zakresie ICT i bezpieczeństwa
Ten przewodnik ma charakter edukacyjny. Potwierdź zakres, stosowane ramy i wymogi nadzorcze ze swoim zespołem ds. zgodności i prawnym.
