DORA: Schulungspflichten im Finanzsektor

Der Digital Operational Resilience Act soll sicherstellen, dass Finanzunternehmen Störungen und Angriffe auf ihre Informations- und Kommunikationstechnik (IKT) aushalten, bewältigen und sich davon erholen. Er gilt für einen weiten Kreis: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungen und Rückversicherungen, Kapitalverwaltungsgesellschaften, Kryptowerte-Anbieter und weitere, die Art. 2 aufzählt. Als Verordnung gilt DORA unmittelbar; seit dem 17. Januar 2025 ist sie anwendbar (Art. 64).

Inhaltlich hat DORA fünf Säulen: IKT-Risikomanagement (Kapitel II), Behandlung und Meldung IKT-bezogener Vorfälle (Kapitel III), Tests der digitalen operationalen Resilienz (Kapitel IV), Management des Risikos durch IKT-Drittdienstleister (Kapitel V) und Informationsaustausch (Kapitel VI). Schulung ist kein eigenes Kapitel, aber eine Querschnittspflicht, die vor allem in Art. 5 und Art. 13 verankert ist.

Art. 5 macht das Leitungsorgan für das IKT-Risikomanagement verantwortlich: Es legt den Rahmen fest, genehmigt ihn, überwacht seine Umsetzung und trägt die letzte Verantwortung. Damit das funktioniert, verlangt Art. 5 Abs. 4, dass sich die Mitglieder des Leitungsorgans aktiv auf dem neuesten Stand halten, um über ausreichende Kenntnisse und Fähigkeiten zu verfügen, IKT-Risiken und deren Auswirkungen auf den Betrieb zu verstehen und zu bewerten — auch durch regelmäßige Teilnahme an spezifischen Schulungen, die den gemanagten IKT-Risiken angemessen sind.

Das ist mehr als eine Empfehlung. Die Schulung muss spezifisch sein, also auf das Risikoprofil des Unternehmens zugeschnitten, und regelmäßig stattfinden. Eine einmalige Einführung beim Amtsantritt genügt dem Wortlaut nach nicht.

Art. 13 behandelt Lernen und Weiterentwicklung. Nach Abs. 6 entwickeln Finanzunternehmen Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodule in ihren Schulungsprogrammen für das Personal. Sie gelten für alle Mitarbeiter und die Mitglieder der Geschäftsleitung, mit einem Komplexitätsgrad, der den Aufgaben ihrer Funktionen angemessen ist.

Gegebenenfalls schließen Finanzunternehmen auch IKT-Drittdienstleister in ihre Schulungsprogramme ein. Spiegelbildlich verlangt Art. 30 Abs. 2 Buchst. i, dass Verträge über IKT-Dienstleistungen die Pflicht des Dienstleisters vorsehen, an den Sensibilisierungsprogrammen und Schulungen des Finanzunternehmens teilzunehmen.

Art. 13 verlangt außerdem, dass Finanzunternehmen Erkenntnisse aus Vorfällen und Tests auswerten und in den IKT-Risikomanagementrahmen zurückführen. Für Schulungen heißt das: Inhalte werden nicht nur jährlich überarbeitet, sondern nach Vorfällen gezielt angepasst. Wer etwa nach einem erfolgreichen Phishing-Angriff die Schulung unverändert lässt, verschenkt die wichtigste Lektion.

Für kleinere und nicht verflochtene Unternehmen sieht Art. 16 einen vereinfachten IKT-Risikomanagementrahmen vor. Auch dort bleibt Schulung Teil des Rahmens; Umfang und Tiefe dürfen aber dem geringeren Risiko folgen. Konkretisierende technische Regulierungsstandards der europäischen Aufsichtsbehörden sind zu beachten.

Die Aufsicht prüft, ob der IKT-Risikomanagementrahmen gelebt wird. Dazu gehören Belege, dass die Mitglieder des Leitungsorgans regelmäßig spezifisch geschult wurden, dass die Pflichtmodule für alle Mitarbeiter bestehen und durchlaufen wurden und dass Dienstleister vertraglich einbezogen sind. Ein zentrales Verzeichnis mit Schulungsplan, Inhalten, Teilnahme und Ergebnissen erleichtert Prüfungen erheblich.

Weil DORA für den Finanzsektor das speziellere Recht ist, tritt NIS-2 insoweit zurück. Gleichwohl können weitere Regeln greifen, etwa aufsichtliche Anforderungen an die Geschäftsorganisation oder die DSGVO für die Schulungsdaten selbst.

Dieser Beitrag erklärt die Rechtslage allgemein und ist keine Rechtsberatung. Für den Einzelfall gilt der amtliche Normtext in der aktuellen Fassung; bei Zweifeln helfen anwaltliche Beratung, der Datenschutzbeauftragte oder die zuständige Aufsichtsbehörde.