DORA-training voor financiële instellingen: wat de wet eist

DORA-training is een verplichting uit Verordening (EU) 2022/2554. Financiële entiteiten moeten al hun personeel, directie inbegrepen, programma's aanbieden voor bewustwording van ICT-beveiliging. Daar komen opleidingen in digitale operationele weerbaarheid bij. De tekst spreekt van verplichte modules, zonder een vorm op te leggen. Een jaarlijkse e-learning kan er dus deel van uitmaken, maar is niet het enige antwoord.

Hier lees je wat de artikelen 13 en 5 voorschrijven, wie eronder valt en hoe je een programma opbouwt dat reflexen verandert.

Wat DORA vraagt: artikel 13, lid 6

DORA is van toepassing sinds 17 januari 2025, rechtstreeks in alle lidstaten, zonder omzettingswet. Artikel 13, lid 6, vraagt financiële entiteiten deze awarenessprogramma's en opleidingen op te stellen. Ze moeten ze als verplichte modules opnemen in hun opleidingsplannen voor het personeel.

Deze programma's richten zich op alle werknemers en op de leden van de directie. Het complexiteitsniveau moet evenredig zijn aan hun functies. De tekst legt geen frequentie, duur of drager vast.

Ook externe ICT-dienstverleners kunnen ‘in voorkomend geval’ onder de regeling vallen. Dat hangt af van de voorwaarden in de contracten (artikel 30, lid 2, punt i).

Wie valt onder de DORA-training

Het toepassingsgebied staat in artikel 2 van de verordening. Het omvat onder meer kredietinstellingen en betalingsinstellingen, beleggingsondernemingen en verzekeraars. Het omvat ook verzekeringstussenpersonen en aanbieders van cryptoactivadiensten. De volledige lijst raadpleeg je op EUR-Lex.

De vereenvoudigde regeling van artikel 16 neemt dezelfde eis over. Ook zij vraagt awareness- en opleidingsprogramma's voor het personeel en de directie. Kleinere structuren zijn dus niet vrijgesteld.

De opleiding van de directie: artikel 5

Artikel 5, lid 4, richt zich op het bestuursorgaan. De leden moeten actief voldoende kennis en vaardigheden bijhouden om het ICT-risico te begrijpen en te beoordelen. Ze moeten regelmatig een specifieke opleiding volgen, evenredig aan dat risico.

Artikel 5, lid 2, maakt het bestuursorgaan ook verantwoordelijk voor het budget. Het moet middelen toewijzen aan de awarenessprogramma's en opleidingen van artikel 13, lid 6, en ze periodiek herzien. Opleiding is dus niet alleen een zaak van de opleidingsafdeling: het is een governancekwestie.

Wat de tekst niet zegt, en wat toezichthouders verwachten

DORA definieert niet wat een ‘voldoende’ opleiding is. In zijn vraag-en-antwoorddatabase geeft de EIOPA (de Europese autoriteit voor verzekeringen) aan dat deze opleidingen moeten zijn afgestemd op de functies van het personeel en de directie. De lezing is dus evenredig: een raadslid, een adviseur op kantoor en een systeembeheerder hebben niet dezelfde behoeften.

Gedelegeerde Verordening (EU) 2024/1774 preciseert het kader voor ICT-risicobeheer. Ze voegt toe dat het personeel de meldkanalen voor afwijkend gedrag moet kennen. Weten aan wie je een alarm doorgeeft, hoort dus bij de opleiding.

In Frankrijk publiceerde de toezichthouder ACPR in december 2024 een DORA-notitie over ICT en een ICT-bijlage bij het verslag over de interne controle. Een instelling moet verwachten haar programma, haar doelgroep en haar evaluaties te moeten toelichten.

Waarom jaarlijkse e-learning het menselijke risico niet oplost

Een module over wachtwoorden en verdachte links draagt informatie over. Ze bereidt niet voor op het telefoontje van een nep-adviseur, een nepdienstverlener of een nepcollega van de support. Die zet de medewerker onder druk om een code of goedkeuring los te krijgen.

In die situaties is de gesprekspartner beleefd, goed geïnformeerd en gehaast. De medewerker moet woorden vinden om te controleren, te weigeren en te melden, vaak in enkele seconden. Die reflex bouw je op door hem te oefenen. Ons artikel over de grenzen van e-learning voor cybersecurityreflexen legt het mechanisme uit.

DORA vraagt een opleiding in digitale operationele weerbaarheid, geen leesbevestiging. Een programma dat niet verandert wat mensen doen op de dag van een aanval, vervult de letter van de tekst, niet het doel.

Een typisch scenario voor een back-officeteam

Stel je een telefoontje voor aan een betalingsmedewerker. De gesprekspartner stelt zich voor als technicus van een IT-dienstverlener van de bank. Hij legt uit dat een incident overboekingen blokkeert en vraagt, om het op te lossen, een code die per sms op de telefoon van de medewerker binnenkomt.

Het scenario test drie gebaren: de identiteit controleren via een onafhankelijk kanaal, weigeren de code mee te delen, het telefoontje melden. De bruikbare zinnen zijn kort:

• ‘Ik deel nooit een code per telefoon. Ik bel u terug op het nummer uit het contract.’
• ‘Geef me uw naam en uw afdeling, ik noteer ze en waarschuw de securityafdeling.’
• ‘Als het dringend is, wordt het incident geopend via het gebruikelijke kanaal.’

Deze gebaren vind je terug in onze artikelen over weigeren onder druk aan de telefoon en over terugbellen. Ze horen echt bij operationele weerbaarheid: een vermeden incident is beter dan een goed afgehandeld incident.

De veelgemaakte fouten in DORA-programma's

• De directie vergeten. Ze wordt tweemaal genoemd, in de artikelen 5 en 13.
• De opleiding behandelen als een bewijsdossier. De tekst spreekt van weerbaarheid, dus van gedrag.
• Voor iedereen dezelfde inhoud. De evenredigheid aan de functies staat in de tekst.
• Alleen schriftelijk opleiden. Aanvallen per telefoon bereid je niet alleen met teksten voor.
• Het programma niet herzien. Het bestuursorgaan moet het periodiek herzien.

Een DORA-programma opbouwen dat werkt

1. De doelgroepen indelen. Directie, adviseurs en front office, back office en treasury, IT-teams, support. Elke groep krijgt de situaties die haar aangaan.
2. Formats combineren. Korte modules voor basiskennis, oefensessies voor de gevoelige gebaren.
3. Mondeling trainen. Aanvallen per telefoon spelen zich af in een gesprek. De oefensituatie is het juiste format om erop te antwoorden.
4. Debriefen en opnieuw spelen. Een nauwkeurige terugkoppeling over wat er is gezegd, daarna een nieuwe poging.
5. Sporen bewaren. Wie, wanneer, waarover, met welke evaluatie, ook voor de directie.

Een overzicht met vijf vragen om je programma te auditen

• Worden alle werknemers en alle leden van de directie gedekt?
• Is de inhoud afgestemd op elke functie?
• Zijn de modules verplicht, zoals de tekst vraagt?
• Weet het personeel aan wie het een incident meldt?
• Kun je bewijzen wat er is geleerd, en niet alleen wat er is geopend?

De oefensituatie, een manier om de verplichting in te vullen

Met Face Up maken trainers hun eigen rollenspellen op basis van hun echte gevallen, met hulp van een ontwerpassistent. De deelnemer spreekt, met stem of in video, met een persona gespeeld door een AI. Dat kan een nep-bankadviseur zijn of een nepdienstverlener van de IT.

Daarna krijgt hij een debriefing: sterke punten, verbeterpunten, actieplan en citaten van wat hij heeft gezegd. Hij kan opnieuw spelen. Voor de banksector werken we de scenario's uit in ons artikel over vishing bij banken. De bewijsvraag komt aan bod in het artikel over de traceerbaarheid van opleiding.

Veelgestelde vragen

Legt DORA een aantal opleidingsuren op?

Nee. Artikel 13, lid 6, spreekt van programma's en verplichte modules, zonder duur of cijfermatige frequentie. Het niveau moet evenredig zijn aan de functies van de opgeleide personen.

Moeten ook bestuurders worden opgeleid?

Ja, op twee gronden. Ze vallen onder artikel 13 als alle leden van de directie. Artikel 5 vraagt bovendien dat het bestuursorgaan regelmatig een opleiding specifiek over het ICT-risico volgt.

Vallen ICT-dienstverleners eronder?

Dat kan. Artikel 13 noemt externe dienstverleners ‘in voorkomend geval’. Artikel 30 bepaalt dat de contracten kunnen vragen dat zij de programma's van de entiteit volgen.

Volstaat e-learning om conform te zijn?

De tekst verbiedt geen enkel format. In de praktijk moet een entiteit aantonen dat haar programma is afgestemd op de functies en op de werkelijke risico's gericht is. Een uniforme module toont dat slecht aan.

Om van attest naar praktijk te gaan, begin je bij de teams die telefonisch het meest zijn blootgesteld en breid je het programma daarna uit. Ons overzicht van verplichte opleidingen plaatst DORA tussen de andere verplichtingen, en het artikel over de opleiding van bestuurders onder NIS2 geeft het Europese pendant. Wil je een rollenspel zien op een van je eigen gevallen? Boek een demo.