DORA stiller et personligt krav til hvert medlem af ledelsesorganet. Efter art. 5, stk. 4, skal medlemmerne aktivt holde “den viden og de færdigheder, der er nødvendige for at forstå og vurdere IKT-risiko” ajour, “herunder ved regelmæssigt at følge særlige kurser”. Kravet hænger sammen med art. 13, stk. 6, om obligatoriske programmer for bevidstgørelse og kurser for alle medarbejdere og for den øverste ledelse. Her ser vi på, hvad bestemmelserne betyder for en mindre finansiel virksomhed, hvordan ledelsen kan planlægge sin egen læring, og hvordan den dokumenteres, så den kan vises frem ved et tilsyn.
Hvad bestemmelsen siger, og hvad den lader stå åbent
Art. 5, stk. 4, har tre elementer. Kravet gælder hvert enkelt medlem. Det skal være aktivt og løbende, så en enkelt introduktion ved tiltrædelsen dækker det ikke. Og kurser er nævnt som en af måderne, viden holdes ajour på.
Bestemmelsen fastsætter hverken timetal, kursusform eller emner. Målestokken er formålet: medlemmerne skal kunne forstå og vurdere IKT-risiko. Den åbne formulering lægger vurderingen hos ledelsesorganet selv, og det er netop den vurdering, der skal kunne dokumenteres.
For de enheder, der følger art. 16, gælder art. 5 ikke. De skal efter art. 16, stk. 1, litra h, efter behov have bevidstgørelse og kurser for både personale og ledelse.
Art. 13, stk. 6: programmet for hele virksomheden
Art. 13, stk. 6, kræver obligatoriske programmer for bevidstgørelse og kurser. De omfatter alle medarbejdere og den øverste ledelse og kan også omfatte IKT-leverandører. For ledelsen betyder det to ting. Direktionen deltager i det samme program som resten af virksomheden. Og ledelsesorganet skal efter art. 5, stk. 2, litra g, afsætte et passende budget til bevidstgørelse og kurser.
Programmet for medarbejderne og ledelsens egen læring er altså to forskellige spor. Programmet giver alle et fælles grundlag. Kravet i art. 5, stk. 4, handler om den dybere forståelse, ledelsesorganet skal have for at kunne træffe sine beslutninger efter stk. 2.
Hvad ledelsen skal kunne forstå
Det, medlemmerne skal kunne vurdere, er bestemt af de opgaver, de har efter art. 5, stk. 2. De skal godkende en strategi med et risikotoleranceniveau, godkende politikker, gennemgå revisionsresultater og tage stilling til leverandøraftaler. En læreplan kan derfor bygges op omkring de beslutninger:
- virksomhedens kritiske eller vigtige funktioner og de systemer, der understøtter dem,
- de væsentligste IKT-risici i jeres egen risikovurdering og den aktuelle trusselsvurdering,
- afhængigheden af tredjepartsudbydere af IKT-tjenester og koncentrationsrisikoen,
- hvordan større IKT-relaterede hændelser klassificeres og meldes til Finanstilsynet,
- resultaterne af test og revision, og hvordan de læses.
Generelle kurser om DORA kan give overblikket. Forståelsen af jeres egne risici kræver materiale om jeres egen virksomhed, og den del kan intet eksternt kursus levere alene.
En plan for hvert medlem
En enkel model er en læreplan pr. medlem, som formanden eller hele ledelsesorganet godkender én gang om året. Planen tager udgangspunkt i, hvad det enkelte medlem allerede ved, og hvilke beslutninger der kommer i løbet af året. Et nyt medlem uden IKT-baggrund har brug for mere end et medlem, der har arbejdet med området i årevis.
Planen kan kombinere tre former:
- Eksterne kurser om DORA, IKT-risiko eller hændelseshåndtering.
- Interne gennemgange af virksomhedens risikovurdering, strategi og seneste test, knyttet til de møder, hvor beslutningerne træffes.
- Øvelser, hvor ledelsen gennemspiller en større hændelse og den tilhørende indberetning, se øvelse for ledelsen.
Hvilke former der tæller som “særlige kurser”, tager forordningen ikke stilling til. Ledelsesorganet bør derfor selv beskrive i planen, hvorfor kombinationen giver den nødvendige viden.
Sådan dokumenteres det
Et tilsyn vil se efter spor af, at kravet bliver fulgt. Dokumentationen kan være kort, og den bør være samlet ét sted:
- læreplanen for hvert medlem med dato for godkendelse,
- en log over gennemførte kurser, gennemgange og øvelser med dato, emne og deltagere,
- kursusbeviser eller dagsordener som bilag,
- referatet af ledelsesorganets årlige vurdering af, om viden og færdigheder er tilstrækkelige,
- det afsatte budget til kurser og bevidstgørelse, jf. art. 5, stk. 2, litra g.
Den årlige vurdering er det vigtigste dokument. Her tager ledelsesorganet stilling til, om det samlet kan forstå og vurdere virksomhedens IKT-risiko, og hvad der skal styrkes det kommende år. Vurderingen passer naturligt ind i årshjulet, fx samme møde som budgettet.
Kravet efter NIS2 om uddannelse af ledelsen ligner på flere punkter. Har koncernen virksomheder under begge regelsæt, kan en fælles plan bruges, se NIS2-uddannelse af ledelsen.
Hvor en ekstern CISO kan hjælpe
Læreplanerne kan udarbejdes i udkast af en ekstern CISO, som også kan holde de interne gennemgange og knytte dem til de beslutninger, der står på dagsordenen. Den eksterne kan også føre loggen og forberede den årlige vurdering. Valget af eksterne kurser bør træffes ud fra behovet i planen. Det er ledelsesorganet, der vurderer, om dets viden er tilstrækkelig.
Det skal I lade være med
- At stoppe efter et kursus ved tiltrædelsen · bestemmelsen kræver, at viden holdes ajour.
- At tælle mødedeltagelse som læring uden at skrive det ned · uden log findes der intet at vise.
- At give hele ledelsesorganet samme plan uanset baggrund · behovet er forskelligt fra medlem til medlem.
Det skal I kræve af den eksterne
- ☐ Læreplaner i udkast for hvert medlem af ledelsesorganet.
- ☐ Interne gennemgange, der tager udgangspunkt i jeres egen risikovurdering.
- ☐ En log over kurser, gennemgange og øvelser.
- ☐ Et oplæg til ledelsesorganets årlige vurdering af viden og færdigheder.
- ☐ Forslag til eksterne kurser ud fra behovet, uden binding til en bestemt udbyder.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst (eur-lex.europa.eu): art. 5, stk. 2, litra g, og stk. 4 om ledelsesorganets viden og kurser, art. 13, stk. 6, om obligatoriske programmer, art. 16, stk. 1, litra h, for den forenklede ramme.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ledelsesorganets ansvar efter DORA · Awareness-træning
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
