Pflichtschulung Leitungsorgan · DORA Art. 13

DORA-Pflichtschulung für Verwaltungsrat und Geschäftsleitung

90 Minuten, die Ihr Gremium handlungsfähig und nachweisfähig machen. Inklusive Teilnahmeprotokoll und personalisiertem Zertifikat – genau die Nachweise, die Aufsicht, Revision und Versicherer sehen wollen.

  • 90 Min.kompaktes Board-Format
  • Inhousevor Ort oder online
  • Protokollund Zertifikat je Teilnehmer
  • DACH + FLDE, AT, CH und Liechtenstein
Board-Briefing vereinbaren vCISO-Leistungen ansehen

Die Schulung des Leitungsorgans ist keine Empfehlung

DORA gilt seit dem 17. Januar 2025, in Liechtenstein seit dem 1. Februar 2025. Die Verordnung adressiert das Leitungsorgan an drei Stellen ausdrücklich – und zwar persönlich, nicht die IT-Abteilung.

Finanzunternehmen entwickeln Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als verpflichtende Module in ihren Personalschulungsprogrammen. Diese Programme und Schulungen gelten für alle Mitarbeiter und die Geschäftsleitung und weisen einen der jeweiligen Funktion entsprechenden Komplexitätsgrad auf.Art. 13 Abs. 6 DORA
Die Mitglieder des Leitungsorgans des Finanzunternehmens halten ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand […], indem sie regelmässig spezielle Schulungen zu IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Finanzunternehmens absolvieren.Art. 5 Abs. 4 DORA
Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen […].Art. 5 Abs. 2 DORA

Hinzu kommt Art. 5 Abs. 2 lit. g: Das Leitungsorgan genehmigt selbst die Budgetmittel für Sensibilisierung, Schulungen und Kompetenzaufbau. Und Art. 50 Abs. 5 verpflichtet die Mitgliedstaaten, Sanktionen auch gegen Mitglieder des Leitungsorgans persönlich zu ermöglichen. Eine Delegation an den CISO entlastet das Gremium nicht.

Woran Board-Schulungen in der Praxis scheitern

Drei Muster, die uns in Umsetzungsprojekten immer wieder begegnen.

Zu technisch, zu lang

Standardschulungen sind für IT-Teams gebaut. Ein Verwaltungsrat braucht keine Firewall-Konfiguration, sondern Entscheidungsgrundlagen: Was genehmige ich, wofür hafte ich, was frage ich nach?

Kein verwertbarer Nachweis

Ein Webinar ohne Protokoll ist im Audit wertlos. Was fehlt, ist die dokumentierte Teilnahme mit Datum, Dauer, Inhalt und Namen – als Anlage zum Sitzungsprotokoll.

Kein Bezug zum eigenen Haus

Allgemeine Rechtskunde hilft nicht bei der Frage, welche der eigenen Funktionen kritisch sind und welcher IKT-Dienstleister das Haus im Ernstfall lahmlegt.

Agenda: 90 Minuten, sechs Blöcke

Aufgebaut entlang der Entscheidungen, die Ihr Gremium tatsächlich trifft. Auf Wunsch mit Ihren eigenen Dokumenten als Fallbeispiel.

ZeitModulInhalt
20 Min.Rechtsrahmen und persönliche VerantwortungArt. 5 und Art. 13 DORA, Verhältnis zu NIS2 als lex specialis, Sanktionsrahmen und persönliche Adressierung des Leitungsorgans.
20 Min.IKT-Risikomanagement aus Board-SichtRisikotoleranzschwellen, Resilienzstrategie, Geschäftsfortführungs- und Wiederherstellungspläne, IKT-Revisionsplan, Schulungsbudget.
15 Min.IKT-Drittparteienrisiko und InformationsregisterRegister nach Art. 28, Vertragsmindestinhalte nach Art. 30, Ausstiegsstrategien, Aufsicht über kritische IKT-Drittdienstleister.
15 Min.Meldepflichten bei schwerwiegenden VorfällenKlassifizierung nach Art. 18, Erst-, Zwischen- und Abschlussmeldung nach Art. 19, Abgleich mit der Schweizer BACS-Meldung (24 Stunden) und NIS2.
10 Min.Resilienztests und TLPTTestprogramm nach Art. 24 bis 27, bedrohungsgeleitete Penetrationstests, Umgang mit Testergebnissen im Gremium.
10 Min.Wissensüberprüfung und NachweiseKurze Lernstandskontrolle, Ausgabe von Teilnahmeprotokoll und Zertifikat, offene Fragen aus dem Gremium.

Was Sie nach 90 Minuten in der Hand haben

  • Teilnahmeprotokoll mit Name, Datum, Dauer und Inhaltsübersicht, exportierbar für das gesamte Gremium.
  • Personalisiertes Zertifikat je teilnehmende Person, verifizierbar über die CyberSchild-Plattform.
  • Board-Kurzunterlage mit den Entscheidungspunkten, die Ihr Gremium formal genehmigen muss.
  • Fragenkatalog für die nächste Sitzung: was das Gremium von IT, Compliance und Dienstleistern verlangen sollte.
  • Nachweisordner-Struktur für Revision und Aufsicht, damit die Dokumentation nicht erst im Audit entsteht.
  • Zwölf Monate Zugriff auf die Kursinhalte für Nachschulungen bei Gremiumswechseln.

Wer schult

Alle Trainer von CyberSchild sind zertifizierte Information Security Officer: Sie haben den Zertifikatslehrgang „IT-Sicherheitsbeauftragter (ITSiBe) / Chief Information Security Officer (CISO)“ der Bitkom Akademie absolviert. Das Zertifikat ist drei Jahre gültig und wird regelmässig rezertifiziert.

Aus der Umsetzung, nicht aus dem Lehrbuch

Wir haben mehrere NIS2- und DORA-Umsetzungsprojekte im DACH-Raum begleitet – bei Finanzdienstleistern, Industrieunternehmen und Betreibern kritischer Infrastruktur in Deutschland, Österreich, der Schweiz und Liechtenstein.

Sprache des Gremiums

Keine Tool-Demos, keine Frameworks um ihrer selbst willen. Wir sprechen über Verantwortung, Budget, Haftung und die Fragen, die im Ernstfall gestellt werden.

Anschluss an das Tagesgeschäft

Aus dem Board-Modul entsteht auf Wunsch direkt ein vCISO-Mandat – mit derselben Ansprechperson, die Ihr Gremium bereits kennt.

Für wen das Modul gebaut ist

Verwaltungsräte, Aufsichtsräte, Geschäftsleitungen und Bereichsleitungen mit IKT-Verantwortung in Finanzunternehmen nach Art. 2 DORA.

Banken und Wertpapierhäuser Zahlungs- und E-Geld-Institute Versicherungen und Rückversicherungen Vermögensverwalter und Fondsgesellschaften Anbieter von Kryptowerte-Dienstleistungen Einrichtungen der betrieblichen Altersversorgung IKT-Drittdienstleister der Finanzbranche

Hinweis für Schweizer Häuser: DORA gilt nicht unmittelbar in der Schweiz. Betroffen sind Sie dennoch, wenn Sie EU-Tochtergesellschaften oder Zweigniederlassungen führen, als IKT-Dienstleister für EU-Finanzunternehmen arbeiten oder Vertragsanforderungen nach Art. 30 DORA erfüllen müssen. Flankierend weist das FINMA-Rundschreiben 2023/1 „Operationelle Risiken und Resilienz – Banken“ die Genehmigung und Überwachung der IKT-, Cyber- und BCM-Strategien ausdrücklich dem Oberleitungsorgan zu.

Häufige Fragen

Reichen 90 Minuten für eine DORA-Schulung des Leitungsorgans?

DORA nennt keine Mindestdauer, sondern verlangt einen Komplexitätsgrad, der dem jeweiligen Aufgabenbereich angemessen ist. Für ein Leitungsorgan sind 90 fokussierte Minuten mit dokumentierter Wissensüberprüfung ein belastbares Format. Fachfunktionen schulen wir separat und vertiefter.

Wie oft muss das Gremium geschult werden?

Art. 5 Abs. 4 DORA verlangt regelmässige Schulungen. In der Praxis bewährt sich ein jährlicher Turnus, ergänzt um eine Kurzschulung bei jedem Neuzugang im Gremium. Beides bilden wir über die Plattform ab.

Läuft das Modul vor Ort oder online?

Beides. Vor Ort direkt in der Sitzung Ihres Gremiums, online als Live-Session oder als zeitversetzt abrufbarer Kurs. Protokoll und Zertifikat entstehen in allen drei Varianten identisch.

Was kostet das Board-Modul?

Wir kalkulieren das Inhouse-Paket nach Gremiumsgrösse, Format und Anpassungstiefe. Im Board-Briefing klären wir Ihren Bedarf und Sie erhalten ein konkretes Angebot.

Wir unterliegen sowohl DORA als auch NIS2. Was gilt?

DORA ist für Finanzunternehmen der sektorspezifische Rechtsakt und geht NIS2 beim IKT-Risikomanagement und bei der Vorfallmeldung vor. Wo Konzernteile ausserhalb des Finanzsektors liegen, kombinieren wir das DORA-Modul mit unserem NIS2-Board-Modul.

Pflicht erfüllen und dabei etwas mitnehmen

Im 30-minütigen Board-Briefing klären wir Ihre Betroffenheit, den Nachweisbedarf und das passende Format – ohne Verpflichtung.

Board-Briefing vereinbaren
Erstellt mit