Răspunsul scurt
Articolul 5(4) din DORA cere membrilor organului de conducere să își mențină actualizate cunoștințele și competențele privind riscul TIC, prin formare specifică, periodică și proporțională cu riscul gestionat. Nu stabilește o frecvență anuală universală. Documentați ciclul ales, luați în considerare așteptările de supraveghere aplicabile și răspundeți schimbărilor importante înainte de următoarea actualizare planificată.
1. Ce cer, de fapt, prevederile privind instruirea
DORA se aplică din 17 ianuarie 2025. Stabiliți mai întâi dacă entitatea financiară intră în domeniul de aplicare și ce cadru i se aplică. În cadrul general, articolul 5(4) privește capacitatea organului de conducere de a înțelege și evalua riscul TIC și impactul asupra activității. Scopul este menținerea cunoștințelor actuale și a unui discernământ informat, nu repetarea aceleiași prezentări la fiecare douăsprezece luni. Textul nu fixează un interval calendaristic universal.
Articolul 13(6) abordează formarea obligatorie privind conștientizarea securității TIC și reziliența operațională digitală pentru angajați și conducerea superioară. Complexitatea trebuie să corespundă atribuțiilor lor, incluzând, acolo unde este cazul, furnizorii relevanți de TIC. Entitățile eligibile care folosesc cadrul simplificat din Articolul 16 au prevederi diferite, inclusiv instruirea personalului și a conducerii bazată pe nevoi în Articolul 16(1)(h). Nu tratați prevederea pentru consiliu ca bază legală aplicabilă fiecărui cursant sau entitate.
Aceste distincții contează în calendarul formării. După aceeași întrerupere, un membru al conducerii, un coordonator de incidente și un coleg din serviciul clienți pot avea nevoie de instruire, dar iau decizii diferite și au nevoie de niveluri diferite de detaliu. O prezentare comună poate acoperi mai multe nevoi; aceasta nu impune cumpărarea unor cursuri separate. Citiți ghidul cerințelor de formare pentru conducere înainte de a transforma o obligație legală într-o specificație de achiziție.
2. Actualizarea anuală este o alegere de organizare a programului
Un curs anual de actualizare oferă un reper previzibil pentru planificare, continuarea formării inițiale și buget. Poate fi și ocazia în care conducerea își revizuiește prioritățile de învățare. Prezentarea acestei frecvențe ca fiind singura permisă de DORA confundă însă structura ofertei unui furnizor cu textul regulamentului. Explicați alegerea, motivele ei și evenimentele care pot cere formare mai devreme.
Decizia poate fi influențată și de alte așteptări ale autorităților de supraveghere. De exemplu, bunele practici publicate de BCE privind competențele organelor de conducere ale băncilor în TIC și securitate discută formarea anuală. Este un reper relevant pentru băncile vizate, nu dovada că aceeași regulă se aplică identic tuturor entităților financiare. Echipa de conformitate trebuie să identifice documentele de supraveghere și cerințele naționale aplicabile, alături de cadrul DORA.
La BlueTeam Academy, actualizarea anuală este o recomandare de planificare. Administratorii pot alege un alt interval de revizuire în funcție de roluri și de profilul de risc al companiei. Setarea programează o revizuire internă, fără să demonstreze că intervalul respectă toate obligațiile. Conducerea trebuie să poată explica de ce ciclul ales este potrivit, ce informații a luat în calcul și cine va reevalua decizia dacă expunerea se schimbă. Fără această justificare, calendarul nu înlocuiește un plan de formare.
3. Definiți evenimentele care cer formare mai devreme
Programul trebuie să prevadă cum sunt abordate schimbările dintre sesiunile planificate: lansarea unui serviciu important, schimbarea unei dependențe de cloud sau de gestionarea identităților, achiziția unei companii, un incident semnificativ, o constatare de audit repetată ori preluarea unui rol nou în conducere. Întrebarea este dacă evenimentul schimbă cunoștințele sau deciziile așteptate de la persoanele implicate. Nu orice schimbare tehnică cere un curs pentru conducere, dar cele importante cer o evaluare argumentată.
Imaginați-vă o entitate de plăți care mută mediul de recuperare pe aceeași platformă cloud ca serviciul principal. Conducerea a încheiat modulul de continuitate acum două luni. Dacă așteaptă încă zece luni pentru a discuta noua concentrare, poate continua să se bazeze pe o ipoteză de recuperare care nu mai este valabilă. O prezentare țintită și un exercițiu de decizie pot acoperi lacuna fără repetarea întregului program.
Înregistrați simplu situațiile care impun instruire: schimbarea, serviciul afectat, rolurile implicate, nevoia de învățare, activitatea propusă, responsabilul și dovada finalizării. Legați acest registru de procesul obișnuit de gestionare a riscurilor sau schimbărilor, fără să depindeți de cineva care își amintește calendarul cursurilor. După un incident, folosiți concluziile despre decizii și escaladare, nu doar despre cauza tehnică. O procedură nouă este utilă doar dacă persoanele care o aplică înțeleg ce trebuie să facă diferit.
4. Planificați în funcție de roluri și servicii financiare
Un plan util pornește de la persoanele și serviciile pentru care răspunde entitatea. Identificați membrii organului de conducere și atribuțiile lor de supraveghere. Descrieți responsabilitățile conducerii superioare și rolurile operaționale care cer cunoștințe specifice de securitate sau competențe de reziliență. Legați-le de servicii, date importante, dependențe TIC și întreruperi previzibile. Rezultă un plan mai bine justificat decât atribuirea aceluiași conținut tuturor conturilor din director.
Pentru consiliul de administrație, rezultatul poate fi capacitatea de a contesta apetența la risc, investițiile, dovezile de recuperare și expunerea la furnizori importanți. Pentru un coordonator de incidente, poate fi clasificarea fiabilă, escaladarea și coordonarea prin procedurile aprobate ale entității. Pentru un coleg care gestionează instrucțiuni ale clienților, poate însemna recunoașterea și raportarea promptă a unei probleme suspectate de integritate. Aceste rezultate sunt înrudite, însă un test exclusiv despre igiena parolei nu dovedește capacitate de decizie la nivel de consiliu privind recuperarea sau resursele.
Adaptați nivelul de detaliu la nevoi. Un conducător responsabil de un serviciu cu dependențe comune complexe poate avea nevoie de scenarii mai aprofundate decât o prezentare introductivă. Precizați unde se termină partea comună și unde începe prezentarea sau atelierul specific entității. Dacă nu s-a confirmat cadrul juridic, înregistrați acest punct ca acțiune deschisă cu un responsabil. Setarea implicită a platformei nu stabilește domeniul juridic de aplicare.
5. Un ciclu practic de la formarea inițială la actualizare
Un model practic începe cu formarea la preluarea rolului, urmată de o bază comună pentru conducere, de o discuție despre serviciile reale și de o revizuire planificată a schimbărilor. Partea comună oferă noțiuni și metode de decizie. Discuția din companie verifică aplicarea lor la modelul de recuperare, lanțul de furnizori și guvernanță. Revizuirea periodică identifică ce s-a schimbat și care ipoteze anterioare cer dovezi noi.
De exemplu, un director nou-numit poate urma programul pentru conducere, poate participa la prezentarea serviciilor și poate nota întrebările la care dorește răspunsuri de la management. Secretarul consiliului sau responsabilul de formare poate urmări progresul față de termenele convenite. La revizuirea următoare, directorul poate analiza responsabilitățile schimbate și riscurile nerezolvate, apoi poate urma un curs de actualizare sau un exercițiu țintit. Termenele trebuie adaptate nevoilor entității și așteptărilor aplicabile; exemplul nu este un calendar obligatoriu.
Legați activitățile între ele. Dacă un atelier identifică o dependență de recuperare netestată, ar trebui să rezulte o acțiune și o solicitare ulterioară de dovezi. Următorul curs de actualizare trebuie să verifice dacă acțiunea a schimbat capacitatea serviciului. Formarea devine astfel parte din supravegherea continuă. Și cumpărătorul din companie poate evalua cursul după deciziile pe care le susține, nu doar după numărul de videoclipuri, aspectul certificatului sau folosirea cuvântului conformitate în ofertă.
6. Documentați formarea și lacunele rămase
Pentru fiecare participant, păstrați identitatea, organizația, rolul profesional, modulele atribuite, versiunea cursului și datele de finalizare. Înregistrați rezultatele evaluărilor și identificatorul certificatului, dacă a fost emis. Păstrați distincte de cursul principal istoricul actualizărilor și evidențele atelierelor companiei. Schimbarea titlului nu trebuie să modifice în mod tacit sensul unei finalizări înregistrate anterior.
Raportul companiei trebuie să arate lacunele, nu doar rezultatele: persoane care nu au început, module nefinalizate, teste nepromovate sau încă nesusținute, activități restante și acțiuni ulterioare. Procentul de finalizare poate ascunde că membrii conducerii responsabili de un serviciu critic nu au urmat formarea relevantă. Folosiți raportul pentru a decide cine are nevoie de sprijin sau de altă activitate, nu ca scor de conformitate cu reglementările.
Dovezile au limite. Timpul petrecut pe o pagină nu dovedește înțelegerea. Un test cu variante de răspuns verifică anumite decizii, fără să stabilească o competență pentru orice incident real. Argumentele scrise și discuțiile moderate pot dezvălui ipoteze; evidența trebuie însă să arate dacă cineva a examinat răspunsurile. Dacă un administrator înregistrează prezența la un atelier, precizați că este confirmarea sa. Consultați ghidul certificatelor de formare DORA pentru a deosebi dovezile de finalizare de afirmațiile de certificare fără susținere.
7. Exemplu: un consiliu reacționează la o dependență cloud schimbată
Un asigurător fictiv planifică actualizarea periodică a cunoștințelor conducerii pentru noiembrie. În martie, schimbarea unui furnizor face ca două servicii pentru clienți să depindă de aceeași platformă de identitate. În aprilie, un exercițiu recuperează datele cu succes, dar nu testează pierderea platformei. Responsabilul de formare observă că directorii ar putea considera cele două contracte drept dovadă de recuperare independentă. Lacuna este o ipoteză greșită despre dependențele comune.
Entitatea organizează o scurtă prezentare a serviciului și un exercițiu pentru conducere înainte de aprobarea reînnoirii. Participanții descriu dependența comună, verifică critic estimarea de recuperare și identifică dovezile necesare. Înregistrarea păstrează data, rolurile, scenariul, deciziile și acțiunile deschise. Echipa tehnică răspunde de un test reprezentativ de recuperare; responsabilul de business răspunde de decizia privind riscul rezidual. Formarea nu înlocuiește niciuna dintre responsabilități.
În noiembrie, cursul de actualizare reia rezultatul testului și întrebările anterioare ale conducerii. Dacă expunerea rămâne nerezolvată, raportul spune acest lucru. Finalizarea cursului nu face eficient un control care nu funcționează. Calendarul regulat și formarea declanșată de evenimente se completează: calendarul oferă continuitate, iar reacția la schimbări păstrează cunoștințele relevante pentru decizii care nu pot aștepta.
8. Introduceți planul în spațiul de lucru al companiei
Folosiți cursul Curs DORA de securitate cibernetică pentru membrii organelor de conducere și directori ca bază comună pentru conducere, apoi adăugați contextul companiei. Programul principal al Academiei cuprinde opt module, exerciții de decizie scrise și un test bazat pe scenarii. Aproximativ trei ore este estimarea studiului ghidat, inclusiv exercițiile; nu reprezintă un minim legal sau o garanție că durata este suficientă pentru orice rol.
Cursul separat de actualizare pentru conducere ajută la revizuirea responsabilităților schimbate, a ipotezelor de recuperare și a concluziilor despre furnizori sau din audituri. Administratorii îl pot atribui persoanelor vizate și pot urmări finalizarea separat de programul inițial. După un atelier pot consemna moderatorul, participanții, obiectivele și deciziile. Păstrați și acțiunile operaționale nerezolvate în procesul obișnuit de guvernanță, pe lângă documentarea formării pe care au generat-o.
Înainte de adoptarea planului, conveniți domeniul său cu responsabilii de formare, risc și conformitate. Stabiliți cine menține calendarul, cine primește rapoartele despre activitățile restante, ce necesită o actualizare țintită și cum va verifica următoarea revizuire progresul înțelegerii. Acest mod de a împărți responsabilitățile valorează mai mult decât simpla alegere a unei date recurente.
Întrebări adresate de lideri
Înseamnă „regulat” o dată pe an?
Prevederile de instruire DORA nu definesc un interval anual universal. O reluare anuală este o alegere utilă în proiectarea programului pentru multe organizații, iar așteptările de supraveghere aplicabile pot adăuga context relevant. Documentați baza calendarului dvs., luați în considerare rolurile persoanelor și riscul TIC și definiți cum schimbările majore duc la instruire anticipată. Nu descrieți data standard de reînnoire a furnizorului ca fiind formularea explicită a reglementării.
Trebuie reluat tot cursul după fiecare modificare?
Nicio prevedere dintre acestea nu impune, ca regulă universală, reluarea unui curs identic la fiecare schimbare. Evaluați dacă schimbarea afectează cunoștințele, aptitudinile sau deciziile relevante pentru rol. Un instructaj specific, un exercițiu pe scenariu sau un modul actualizat pot acoperi golul mai direct. Păstrați evidența cursului anterior și înregistrați separat noua activitate, inclusiv scopul acesteia și orice acțiuni ulterioare.
Dovedește finalizarea unui curs de actualizare că firma respectă DORA?
Nu. Este dovada unei activități de formare și, dacă a avut loc o evaluare, a rezultatului înregistrat. Conformitatea organizației privește guvernanța, controalele și alte obligații aplicabile. O evidență bine documentată arată ce s-a predat și evaluat, ce versiune s-a folosit și ce rămâne nerezolvat. Trebuie să susțină supravegherea informată, fără să fie prezentată ca înlocuitor al acesteia.
Surse și lecturi suplimentare
Legislație primară și materiale de supraveghere. Exemplele practice și șabloanele din acest ghid sunt sugestii, nu forme reglementate prescrise.
- DORA: Articolele 5, 13 și 16
- EIOPA Q&A 250–3380: instruire și proporționalitate
- BCE: așteptări privind expertiza boardului bancar în domeniul TIC și securitate
Acest ghid are scop educațional. Confirmați domeniul de aplicare al entității, cadrul aplicabil și cerințele de supraveghere împreună cu echipa juridică și de conformitate.
