DORA-Schulungsregeln für Finanzteams

Training ist jetzt Teil des Kontrollrahmens

Seit dem Inkrafttreten von DORA am 17. Januar 2025, gehört Cyber-Training für betroffene Finanzunternehmen zum Regime der operativen Resilienz und steht nicht mehr daneben. Das ist gerade auf Führungsebene wichtig, weil die Verordnung (EU) 2022/2554 das Leitungsorgan dafür verantwortlich macht, den IKT-Risikomanagementrahmen zu definieren, zu genehmigen, zu überwachen und umzusetzen.

Viele Finance-Scale-ups fahren immer noch ein jährliches Awareness-Modul plus Phishing-Übung und halten das für ausreichend. Unter DORA ist dieses Modell zu schwach. Es geht nicht mehr darum, ob Training existiert, sondern ob es rollenbasiert, verpflichtend, dokumentiert und unter Prüfung belastbar ist. Genau hinter diesem größeren Wandel steht auch Warum Lernen zu strategischer Infrastruktur wird.

Artikel 13(6) macht Awareness zu einer Pflichtkontrolle

Der rechtliche Kern steht in Artikel 13(6) von DORA. Er verlangt, dass Finanzunternehmen IKT-Sicherheits-Awareness-Programme und Schulungen zur digitalen operativen Resilienz als Pflichtmodule in ihre Mitarbeiterschulungen aufnehmen. Ausdrücklich erfasst sind dabei sowohl Mitarbeitende als auch das Leitungsorgan.

Das verschiebt die Ausgangslage. Training ist keine freiwillige Awareness-Kampagne mehr, die nur HR oder Security gehört. Es wird Teil des kontrollierten Betriebsmodells. Das heißt: Die Führung braucht Transparenz über Abdeckung, Wiederholungen, Ausnahmen und Nachbesserungen.

Die Zielgruppe reicht von Mitarbeitenden bis zum Leitungsorgan

DORA beschränkt diese Pflicht nicht auf Security-Spezialist:innen. Sie gilt auch für Menschen, die Outsourcing freigeben, Incidents abzeichnen, Änderungen entscheiden und kundenrelevante Prozesse verantworten, und die Governance-Pflichten des Leitungsorgans unter DORA machen es unmöglich, die Führungsebene aus dem Schulungsplan auszuklammern.

Deshalb zählt Rollenkomplexität mehr als Kursvolumen. Boards brauchen entscheidungsreife Trainings zu Verantwortung, Kriseneskalation, Drittanbieter-Konzentration und Resilienz-Abwägungen. Engineers brauchen Inhalte zu sicherem Design, Changes und Abhängigkeitsrisiken. Teams aus Operations, Finance und Customer brauchen klare Routinen für Eskalation, Kontinuität und Incident Response. Das ist derselbe strukturelle Wandel, der auch in Warum Kompetenzpolitik zur Wirtschaftspolitik wird beschrieben wird: Fähigkeiten gelten zunehmend als Teil der Resilienzkapazität, nicht als weiche Support-Schicht.

Nachweise machen aus Awareness ein belastbares System

Auditierbare Schulungen erkennt man nicht daran, wie viele Module in einem LMS liegen. Entscheidend ist, ob das Unternehmen nachweisen kann, dass die richtigen Personen die richtigen Inhalte in der richtigen Tiefe und im richtigen Rhythmus bekommen haben. Im DORA-Kontext gehört dazu meist:

• Eine Rollenlandkarte, die Jobfamilien und Seniorität mit konkreten IKT- und Resilienzrisiken verknüpft
• Verpflichtende Zuweisungsregeln, inklusive separater Pfade für das Leitungsorgan
• Versionskontrollierte Inhalte, die auf Änderungen bei Richtlinien, Kontrollen oder Szenarien abgebildet sind
• Abschluss-, Test- und Ausnahmeprotokolle, die einer Audit-Stichprobe standhalten
• Ein Auffrischungszyklus, der durch Rollenwechsel, Kontrolländerungen oder Learnings aus Incidents ausgelöst wird

Genau daran scheitern viele Unternehmen. Sie können Inhalte zeigen, aber nicht die Logik dahinter, wer was verpflichtend machen muss. Sie können Abschlüsse zeigen, aber nicht, warum eine Rolle ein tieferes Modul bekam als eine andere. Sie können jährliche Schulungen zeigen, aber nicht, wie Lücken eskaliert wurden. Das ist relevant, weil DORA die Mitgliedstaaten verpflichtet, ihre zuständigen Behörden mit administrativen Sanktionen und Abhilfemaßnahmen bei Verstößen auszustatten und bestimmte Sanktionsentscheidungen zu veröffentlichen.

Die Umsetzung beginnt mit Governance, nicht mit Content-Einkauf

Für Führungsteams ist der erste Schritt das Governance-Design. Klärt, wer die Schulungskontrolle End-to-End verantwortet, wie die Rollentaxonomie gepflegt wird, welche Nachweise aufbewahrt werden und welches Dashboard Vorstand oder ExCo sehen. Die EBA beschreibt DORA als den harmonisierten IKT-Risikomanagementrahmen, der seit dem 17. Januar 2025 gilt, deshalb lässt sich fragmentierte Verantwortung schwerer verteidigen.

1. Ordne jeder kritischen Rolle die Entscheidungen und IKT-Risiken zu, die sie tatsächlich trägt
2. Trenne Führungskräftetraining von unternehmensweiter Awareness, statt überall dasselbe generische Modul zu nutzen
3. Lege die Nachweiskette fest, bevor du Content ausrollst
4. Setze Regeln für Auffrischung und Nachsteuerung bei versäumten Schulungen, Rollenwechseln und durch Incidents ausgelösten Updates

Wenn ihr Awareness-Content immer noch als eigenständiges Jahrespaket einkauft, löst ihr das falsche Problem. Gefragt ist eine wiederholbare Schulungskontrolle mit Zuweisungslogik, Governance und Nachweisen. Genau hier kann App-Learning helfen: mit rollenbasierten Lernpfaden und der Nachweiskette, die für DORA-Readiness nötig ist.

DORA verlangt von Finanzunternehmen nicht einfach nur mehr Awareness. Sie müssen zeigen, dass Resilienzfähigkeit aufgebaut, zugewiesen, aktualisiert und überwacht wird. Teams, die Training als auditierbaren Teil der operativen Resilienz behandeln, können ihre Position besser belegen. Teams, die es als Nebenthema laufen lassen, geraten ins Straucheln, wenn Aufseher Nachweise sehen wollen.