DORA Schulung & Awareness: Pflichttraining für digitale Resilienz

Art. 13 verpflichtet Finanzunternehmen, Schulungsprogramme zu IKT-Sicherheit und digitaler operationeller Resilienz für alle Mitarbeitenden bereitzustellen, mit erweiterten Anforderungen für Mitglieder des Leitungsorgans. Ziel ist ein ausreichendes Wissensniveau, um IKT-Risiken im jeweiligen Aufgabenbereich zu erkennen und angemessen zu reagieren, nicht nur eine einmalige Grundlagenschulung.

Grundsätzlich alle Mitarbeitenden des Finanzunternehmens, mit inhaltlich vertieften Anforderungen für das Leitungsorgan, das seine Aufsichtspflicht über IKT-Risiken nur mit ausreichendem Fachverständnis wahrnehmen kann. Auch Mitarbeitende ohne direkten IT-Bezug sollten grundlegende Awareness-Inhalte erhalten, da menschliches Fehlverhalten ein häufiger Einfallsvektor für IKT-Vorfälle ist.

DORA schreibt keine feste Wiederholungsfrequenz vor, in der Praxis hat sich aber eine jährliche Auffrischung als Mindeststandard etabliert, ergänzt um anlassbezogene Schulungen nach wesentlichen Änderungen der Bedrohungslage oder nach einem größeren IKT-Vorfall. Eine einmalige Schulung ohne Wiederholung erfüllt die Anforderung an ein fortlaufendes Sensibilisierungsprogramm in der Regel nicht.

Geeignet sind Plattformen, die Schulungsinhalte automatisiert an neue Bedrohungsmuster anpassen und den Teilnahmestatus nachvollziehbar dokumentieren, statt nur statische Präsentationen bereitzustellen. Im Versicherungssektor sind zusätzlich Inhalte sinnvoll, die branchentypische Angriffsvektoren wie Social Engineering gegenüber Kundendaten abdecken, da diese hier ein besonders relevantes Risiko darstellen.

Wirksam ist eine Kombination aus kürzeren, häufigeren Lerneinheiten statt einer langen Jahresschulung, sowie eine Personalisierung der Inhalte nach tatsächlichem Aufgabenbereich, damit Mitarbeitende nicht wiederholt irrelevante Themen durchlaufen. Schulungen, die ausschließlich als Pflichtübung ohne erkennbaren Praxisbezug wahrgenommen werden, verlieren erfahrungsgemäß schnell an Wirksamkeit, unabhängig von der Wiederholungsfrequenz.

Üblich sind dokumentierte Teilnahmequoten, Wissensabfragen im Anschluss an die Schulung sowie, wo möglich, eine Auswertung praktischer Indikatoren wie der Klickrate bei simulierten Phishing-Tests im Zeitverlauf. Eine reine Teilnahmebestätigung ohne Wissensüberprüfung zeigt zwar formale Compliance, aber keinen belastbaren Nachweis, dass die Inhalte tatsächlich verstanden wurden.