Odpowiedź krótka
DORA Artykuł 5(4) wymaga, by członkowie organów zarządzających stale podnosili swoją wiedzę i umiejętności w zakresie ryzyka ICT poprzez specjalistyczne szkolenia w regularnych odstępach, proporcjonalnie do zarządzanego ryzyka. Przepis nie określa uniwersalnego, rocznego terminu. Wybierz udokumentowany cykl kształcenia, uwzględnij oczekiwania nadzorcze, a także reaguj na istotne zmiany przed następnym rutynowym szkoleniem odświeżającym.
1. Czego faktycznie wymagają przepisy szkoleniowe
DORA obowiązuje od 17 stycznia 2025 r. Zacznij od zdefiniowania zakresu jednostki finansowej i właściwego modelu. W ramach modelu ogólnego, artykuł 5(4) dotyczy zdolności organu zarządzającego do rozumienia i oceny ryzyka ICT oraz jego wpływu na działalność. Celem jest bieżąca wiedza i świadoma ocena, a nie coroczne powtarzanie identycznej prezentacji. Przepis nie określa jednolitego terminu kalendarzowego.
Artykuł 13(6) dotyczy obowiązkowych szkoleń z zakresu świadomości bezpieczeństwa ICT oraz odporności cyfrowej dla pracowników i kadry zarządzającej. Złożoność szkoleń musi odpowiadać zakresowi ich funkcji, a odpowiedni dostawcy ICT są włączani tam, gdzie to właściwe. Podmioty korzystające z uproszczonych ram artykułu 16 mają inne wymagania, w tym potrzebne szkolenia personelu i zarządu opisane w artykule 16(1)(h). Nie traktuj zapisu o zarządzie jako podstawy prawnej dla każdego uczestnika lub podmiotu.
Te rozróżnienia mają znaczenie przy tworzeniu kalendarza szkoleń. Dyrektor, koordynator incydentu i pracownik obsługi klienta mogą wymagać nauki po tej samej awarii, ale potrzebują różnych decyzji i poziomów szczegółowości. Wspólny briefing może zaspokoić kilka potrzeb; nie nakłada to obowiązku osobnych zakupów komercyjnych. Przeczytaj przewodnik po wymaganiach szkoleniowych zarządu przedzamianą obowiązku prawnego na specyfikację zamówienia publicznego.
2. Coroczny kurs przypominający to decyzja programowa
Coroczny odświeżacz może zapewnić przewidywalny punkt odniesienia do planowania, wdrożenia oraz budżetu. Może też służyć jako punkt, w którym zarząd przegląda swoje priorytety edukacyjne. Jednak przedstawianie tego bazowego cyklu jako jedynego dopuszczalnego według DORA myli projekt produktu dostawcy z brzmieniem regulacji. Wyjaśnij wybór, jego uzasadnienie oraz zdarzenia, które mogą wymagać wcześniejszego szkolenia.
Inne oczekiwania nadzorcze mogą mieć wpływ na decyzję. Przykładowo, opublikowane przez EBC oczekiwania dotyczące wiedzy zarządów banków z zakresu ICT i bezpieczeństwa zawierają wymóg szkoleń rocznych. To istotny kontekst dla banków podlegających tym wymaganiom, ale nie stanowi podstawy do twierdzenia, że identyczna zasada odnosi się do każdego podmiotu finansowego. Zespół ds. zgodności powinien wraz z ramami DORA określić odpowiednie materiały nadzorcze i krajowe wymagania.
W BlueTeam Academy coroczne szkolenie przypominające jest zaleceniem planistycznym. Administratorzy mogą ustalić inną częstotliwość przeglądu w zależności od ról i profilu ryzyka firmy. To ustawienie określa wewnętrzne oczekiwanie dotyczące przeglądu; nie oznacza to, że dany okres zaspokaja wszystkie obowiązki. Zarząd powinien umieć wyjaśnić, dlaczego wybrany cykl ma sens, jakie informacje uwzględniono i kto dokona ponownej oceny decyzji w razie wzrostu ekspozycji. Kalendarz bez tego uzasadnienia to słaby zamiennik planu rozwojowego.
3. Określ zdarzenia powodujące wcześniejsze działania edukacyjne
Regularny program powinien posiadać ścieżkę dla zmian pojawiających się między zaplanowanymi sesjami. Przykłady to uruchomienie ważnej usługi, zmiana w chmurze lub zależności tożsamości, przejęcie spółki, poważny incydent, powtarzające się ustalenia audytu lub nowa rola dyrektora. Kluczowe jest, czy dane wydarzenie zmienia wiedzę lub decyzje oczekiwane od zainteresowanych osób. Nie każda zmiana techniczna wymaga kursu dla zarządu, ale istotne zmiany wymagają przemyślanej analizy.
Rozważ podmiot płatniczy, który przenosi środowisko odtworzenia na tę samą platformę chmurową co usługa podstawowa. Zarząd ukończył moduł ciągłości dwa miesiące wcześniej. Oczekiwanie dodatkowych dziesięciu miesięcy na omówienie nowego poziomu koncentracji może sprawić, że dyrektorzy będą polegać na założeniu odtworzenia, które nie jest już aktualne. Skierowany briefing i ćwiczenie decyzyjne mogą rozwiązać tę lukę bez powtarzania całego programu.
Create a simple trigger record: the change, affected service, roles concerned, learning need, proposed activity, owner and completion evidence. Connect it to the normal risk or change-governance process so that it is not dependent on somebody remembering the training calendar. After an incident, use the lessons about decisions and escalation as well as the technical cause. A new procedure matters only if the people expected to use it understand what they must do differently.
4. Planuj w oparciu o role i usługi finansowe
Użyteczny plan zaczyna się od ludzi i usług, za które podmiot odpowiada. Wskaż członków organu zarządzającego i ich obowiązki nadzorcze. Przypisz odpowiedzialności kierownictwa wyższego szczebla oraz role operacyjne wymagające określonej świadomości lub umiejętności odporności. Następnie powiąż te odpowiedzialności z usługami, istotnymi danymi, zależnościami ICT i przewidywanymi zakłóceniami. To podejście daje bardziej obronny plan niż przypisywanie identycznej treści każdemu kontu w katalogu.
Dla zarządu efektem może być możliwość zakwestionowania apetytu na ryzyko, inwestycji, dowodów odzyskiwania oraz ekspozycji na ważnych dostawców. Dla koordynatora incydentów — wiarygodna klasyfikacja, eskalacja i koordynacja zgodnie z zatwierdzonymi procedurami podmiotu. Dla pracownika obsługującego instrukcje klienta — szybkie rozpoznanie i zgłoszenie podejrzenia naruszenia integralności. Te wyniki są powiązane, ale test dotyczący wyłącznie higieny haseł nie wykazuje, że zarząd ocenia kwestie odzyskiwania czy zasobów.
Stosuj proporcjonalną głębokość. Kierownik odpowiedzialny za usługę złożoną ze współdzielonych zależności może wymagać bardziej szczegółowej pracy scenariuszowej niż zapewnia przegląd wprowadzający. Udokumentuj, gdzie kończy się wspólny zakres, a zaczyna dedykowany briefing bądź warsztat. Jeżeli ramy prawne nie zostały jeszcze potwierdzone, odnotuj to jako działanie do rozwiązania z właścicielem. Nie przedstawiaj domyślnych ustawień systemu szkoleniowego jako prawnego określenia zakresu.
5. Praktyczny cykl od wdrożenia do odnowienia
Jedna z możliwych wersji programu zaczyna się od wprowadzenia, następnie wspólnego trzonu managerskiego, omówienia rzeczywistych usług podmiotu oraz zaplanowanego przeglądu zmian. Wspólny trzon zapewnia słownictwo i metody decyzyjne. Część o firmie sprawdza, czy te metody pasują do rzeczywistego wzorca odtwarzania, łańcucha dostawców i mechanizmów nadzoru. Cykliczny przegląd pyta następnie, co się zmieniło i które wcześniejsze założenia wymagają nowego potwierdzenia.
Przykładowo, nowo powołany członek zarządu może ukończyć program szkoleniowy dla zarządów, wziąć udział w prezentacji usług i zanotować pytania, na które oczekuje odpowiedzi od kierownictwa. Sekretarz zarządu lub właściciel procesu uczenia może sprawdzać postępy względem uzgodnionych terminów. Przy kolejnym przeglądzie członek zarządu może przeanalizować zmiany w odpowiedzialnościach i nierozwiązane kwestie ryzyka, następnie odbyć kurs odświeżający lub ukierunkowane ćwiczenie. Dokładny harmonogram powinien wynikać z potrzeb podmiotu i właściwych wytycznych, a nie być traktowany jako obligatoryjna sekwencja.
Zachowuj powiązanie działań. Warsztat, który identyfikuje nieprzetestowaną zależność od odtworzenia, powinien skutkować działaniem i przyszłym żądaniem dowodów. Następne szkolenie powinno sprawdzić, czy wprowadzona akcja zmieniła możliwości usługi. Dzięki temu nauka staje się procesem ciągłego nadzoru. Pomaga to także nabywcy korporacyjnemu ocenić kurs na podstawie podejmowanych decyzji, nie tylko liczby filmów, długości certyfikatu lub użycia przez dostawcę słowa compliance.
6. Rejestruj naukę i pozostałe luki
Dla każdego uczestnika zachowaj dane tożsamości, organizację, rolę zawodową, przypisane moduły, wersję kursu i daty ukończenia. Zarejestruj wyniki ocen oraz identyfikator wydanego certyfikatu ukończenia. Oddzielaj ewaluacje odświeżające i zapisy z warsztatów firmowych od głównego kursu. Zmiana tytułu kursu nie powinna po cichu nadpisywać znaczenia wcześniejszego zapisu ukończenia.
Raport korporacyjny powinien pokazywać luki oraz sukcesy: osoby, które nie rozpoczęły, nieukończone moduły, niezaliczone lub nierozstrzygnięte oceny, zaległe zadania i działania następcze. Procent ukończenia może maskować fakt, że osoby odpowiedzialne za kluczową usługę nie ukończyły odpowiedniej nauki. Użyj raportu, aby zdecydować, kto wymaga wsparcia lub innej aktywności; nie traktuj go jako oceny zgodności z przepisami.
Dowody mają swoje ograniczenia. Czas spędzony na stronie nie świadczy o zrozumieniu. Testy wyboru badają konkretne decyzje, jednak nie potwierdzają kompetencji we wszystkich sytuacjach na żywo. Rozumowanie pisemne i dyskusja z moderatorem mogą ujawnić założenia, lecz należy odnotować, czy te odpowiedzi faktycznie zostały przejrzane. Jeśli administrator firmy odnotowuje obecność na warsztacie, należy to oznaczyć jako oświadczenie administratora. Zobacz naszą przewodnik po certyfikatach szkoleniowych DORA aby wskazać praktyczną granicę między dowodami ukończenia a niepopartymi twierdzeniami o certyfikacji.
7. Przykład: zarząd reaguje na zmianę zależności od chmury
Fikcyjny ubezpieczyciel planuje rutynowy kurs odświeżający dla zarządu w listopadzie. W marcu zmiana dostawcy sprawia, że dwa usługi dla klientów zależą od tej samej platformy tożsamości. W kwietniu ćwiczenie przywracania danych kończy się sukcesem, ale nie testuje utraty tej platformy. Właściciel szkoleń zauważa, że dyrektorzy mogą potraktować dwa kontrakty usługowe jako dowód niezależnego odtwarzania. Luka w wiedzy to błędne założenie dotyczące wspólnych zależności.
Podmiot organizuje krótką prezentację usługi i ćwiczenie zarządu przed zatwierdzeniem decyzji o odnowieniu. Uczestnicy mapują wspólną zależność, kwestionują szacunek czasu odtworzenia i identyfikują potrzebne dowody. Zapis dokumentuje datę, role, scenariusz, decyzje i nierozwiązane działania. Zespół techniczny odpowiada za reprezentatywny test odtworzeniowy; właściciel biznesowy za decyzję dotyczącą ryzyka rezydualnego. Nauka nie zastępuje żadnego z tych obowiązków.
W listopadzie przypominające szkolenie wraca do wyniku tego testu i wcześniejszych pytań zarządu. Jeśli ekspozycja pozostaje nierozwiązana, raport to stwierdza. Ukończenie powtórki nie zamienia nieskutecznej kontroli w skuteczną. Przykład ten pokazuje, dlaczego regularny kalendarz oraz nauka powiązana ze zdarzeniami powinny się uzupełniać: kalendarz zapewnia ciągłość, a wyzwalacz zmiany utrzymuje wiedzę adekwatną do decyzji wymagających natychmiastowej reakcji.
8. Umieść plan w firmowym środowisku pracy
Użyj DORA Szkolenie dla Zarządów i Kadry Zarządzającej jako wspólny program rozwojowy, a następnie dodaj kontekst Twojej firmy. Główny program Akademii składa się z ośmiu modułów z pisemnymi ćwiczeniami decyzyjnymi i oceną scenariuszową. Szacowany czas samodzielnej nauki to około trzy godziny, z uwzględnieniem ćwiczeń; nie jest to wymóg prawny ani gwarancja wystarczalności dla każdej roli.
Osobny moduł dla zarządu wspiera przegląd zmienionych obowiązków, założeń dotyczących odtwarzania i wniosków od dostawców lub z audytu. Administratorzy mogą przydzielić go odpowiednim osobom oraz śledzić jego ukończenie niezależnie od oryginalnego programu. Protokół warsztatów firmowych może identyfikować prowadzącego, uczestników, cele i ustalenia po zakończeniu sesji. Nierozwiązane działania operacyjne pozostaw w standardowym procesie ładu korporacyjnego, a także odnotuj wnioski, które z nich wynikły.
Przed wdrożeniem programu odpowiedzialni za uczenie, ryzyko i zgodność muszą uzgodnić jego zakres. Należy określić, kto utrzymuje kalendarz, kto otrzymuje raporty o zaległościach, co uruchamia aktualizację celowaną oraz jak kolejna ewaluacja sprawdzi poprawę zrozumienia. Poczucie odpowiedzialności jest w tym przypadku ważniejsze, niż samo wyznaczenie powtarzającej się daty.
Pytania zadawane przez liderów
Czy „regularnie” oznacza raz do roku?
Zapisy szkoleniowe DORA nie określają jednego uniwersalnego, rocznego interwału. Roczne szkolenie odświeżające to przydatne rozwiązanie projektowe dla wielu organizacji, a odpowiednie oczekiwania nadzorcze mogą dodać istotny kontekst. Udokumentuj podstawę dla swojego harmonogramu, rozważ role pracowników i ryzyko ICT oraz określ, jak istotne zmiany wywołują wcześniejsze szkolenie. Nie opisuj standardowej daty odnowienia dostawcy jako dosłownego brzmienia rozporządzenia.
Czy cały kurs musi być powtarzany po każdej zmianie?
Żaden uniwersalny przepis w tych regulacjach nie wymaga powtarzania identycznego kursu po każdej zmianie. Oceń, czy zmiana wpływa na wiedzę, umiejętności lub decyzje na danym stanowisku. Krótkie szkolenie celowane, ćwiczenie scenariuszowe lub zaktualizowany moduł mogą lepiej wypełnić tę lukę. Zachowaj wcześniejszy zapis ukończenia kursu i osobno odnotuj nową aktywność, jej cel i ewentualne dalsze kroki.
Czy ukończenie szkolenia odświeżającego dowodzi zgodności firmy z DORA?
Nie. Jest to dowód uczestnictwa w aktywności edukacyjnej i — jeśli dotyczy — wyniku oceny. Zgodność organizacyjna obejmuje odpowiednie zarządzanie, kontrolę i szersze obowiązki. Obronna ewidencja szkoleń wskazuje czego nauczano i oceniano, którą wersję wykorzystano oraz co pozostaje nierozwiązane. Powinna wspierać świadomy nadzór, a nie być promowana jako jego substytut.
Źródła i materiały dodatkowe
Ustawa nadrzędna i materiały nadzorcze. Przykłady praktyczne i szablony w tym przewodniku są sugestiami, nie narzuconymi wzorami regulacyjnymi.
- DORA: artykuły 5, 13 i 16
- EIOPA Q&A 250–3380: szkolenie i proporcjonalność
- EBC: oczekiwania wobec wiedzy zarządów banków w zakresie ICT i bezpieczeństwa
Ten przewodnik ma charakter edukacyjny. Potwierdź zakres, stosowane ramy i wymogi nadzorcze ze swoim zespołem ds. zgodności i prawnym.
