DORA規則とは？EUデジタル・オペレーショナル・レジリエンス法を解説

DORA規則（デジタル・オペレーショナル・レジリエンス法）は、金融セクターのサイバーレジリエンスに関するEU法です。金融機関がサイバーセキュリティとITリスクをどのように扱うべきかを定めています。簡単に言えば、EU内のすべての銀行、決済会社、投資会社、保険会社、暗号資産取引所は、ハッキング、クラウド障害、ソフトウェア更新の不具合が起きても業務を継続でき、依存するITベンダーを監督しなければなりません。

本ガイドは、法律やITの知識がない方にも分かるよう作成しています。DORAの適用対象、要求事項、インシデント報告期限、NIS2・GDPRとの違い、制裁、フィンテック・暗号資産企業への影響、そして簡潔なDORAコンプライアンス・チェックリストを解説します。

DORAとは？簡単に解説

DORA（EU DORA、DORA法とも表記）は、金融セクターのデジタル・オペレーショナル・レジリエンスに関する規則（EU）2022/2554です。「デジタル・オペレーショナル・レジリエンス」は複雑に聞こえますが、意味は一つです。ITに問題が生じても、会社は顧客へのサービス提供を続けられるか、ということです。ハッカーが侵入した、更新が失敗した、サプライヤーが停止した――決済は処理されるか、顧客はログインできるか、データは安全か。DORAはこの問いを推奨事項ではなく法的義務に変えます。

DORA以前は、EU各国および金融セクターの各分野に、それぞれ異なるITセキュリティ規則とインシデント様式がありました。DORAは、この複雑な仕組みをEU金融セクター全体に共通する単一のルールブックへ置き換えます。指令ではなく規則であるため、施行のための国内法を必要とせず、すべての加盟国に文言どおり直接適用されます。

DORAコンプライアンスの期限はすでに過ぎています。採択後の2年間の準備期間は終了し、すべてのDORA義務が施行され、各国の金融規制当局が確認を行っています。DORAの枠組みは5つの柱から成り、本ガイドではそれぞれを解説します。

• ICTリスク管理――取締役会（経営機関）が責任を負う、ITリスクに関する文書化された計画。
• ICT関連インシデントの管理・報告――ITインシデントの検知、記録、監督当局への報告。
• デジタル・オペレーショナル・レジリエンス試験――定期的な脆弱性スキャンから本格的な「レッドチーム」による攻撃シミュレーションまで。
• ICT第三者リスク管理――企業が依存するITベンダーの統制と、全ベンダーの登録簿の管理。
• 情報共有――金融事業体間における脅威インテリジェンスの任意共有。

DORAの重要用語を解説

DORA規則の各条文、監督様式、ベンダー契約には、いくつかの定義用語が繰り返し登場します。これらを理解すれば、以後の内容が格段に読みやすくなります。

DORAの適用対象は？

DORAの適用範囲は第2条で定められ、20の金融事業体カテゴリーが列挙されています。EU域内の金融機関がこれらのライセンスのいずれかを保有する場合、特定の免除がない限り、規模を問わず対象となります。主なグループは以下のとおりです。

IT企業自体はどうでしょうか。クラウドプラットフォーム、データセンター、ソフトウェアベンダー、マネージド・セキュリティ企業は金融事業体ではありませんが、DORAは2つの方法でこれらに及びます。第一に、すべての金融事業体は契約にDORA型の条項を盛り込まなければならず、拒否するベンダーは顧客を失うおそれがあります。第二に、大手クラウド、データセンター、通信、金融ソフトウェアの提供者は重要ICT第三者提供者に指定され、EUレベルで直接監督されます。この一覧は毎年更新されます。

DORAはEU域外国企業にも適用されますか。直接適用されるのはEUで認可を受けた企業のみであり、英国、米国、アジアのグループのEU子会社・支店もこれに含まれます。間接的には、義務的契約条項がベンダーの所在地を問わず適用されるため、EU金融会社にサービスを提供するすべての外国ベンダーに及びます。EU域外の提供者が重要提供者に指定された場合、12か月以内にEU子会社を設立しなければなりません。

最後に、DORAは比例原則に基づきます。義務は金融機関の規模と複雑性に応じて重くなります。従業員10人未満で、売上高または貸借対照表の合計が200万ユーロ未満の零細企業は、脅威主導型侵入テスト、一部のガバナンス・報告義務など、複数の要件が免除されます。小規模かつ相互関連性の低い投資会社、特定の免除対象の決済・電子マネー機関など、定められた小規模事業者群には、第16条の簡素化されたICTリスク管理枠組みが適用されます。小規模であっても認可企業がDORAの対象外になるわけではなく、負担が軽減されるだけです。

DORAの要件：5つの柱を解説

DORAコンプライアンスの要件は5つのグループに分かれます。これらは予防、検知、対応、復旧、学習という一つの循環を構成し、規制当局は各段階の証拠を求めます。

ICTリスク管理枠組み（第5条～第16条）

平たく言えば、保有するITを把握し、何が問題になり得るかを理解し、それを保護・復旧するための文書化された計画を持つことです。この枠組みには、IT資産と依存関係の一覧、問題の予防・検知、対応・復旧、インシデントからの学習方法を含めなければなりません。少なくとも年1回および重大インシデントのたびに見直します。経営機関が承認し、許容リスクと予算を決定します。重要機能をマッピングし、バックアップを実際にテストし、全社的な事業継続計画と連携するIT継続計画を整備する必要があります。

インシデント報告：4時間・72時間・1か月の期限

すべてのICT関連インシデントは、EU共通の基準により記録・分類しなければなりません。基準には、影響を受けた顧客数、企業の評判への影響、継続時間、拡大範囲、失われたデータ、サービスの重要性、関係する金額が含まれます。閾値を超えるインシデントは「重大」とされ、監督当局へ3段階で報告します。重大と判断してから4時間以内（企業が認知してから24時間以内を超えてはならない）の初回通知、初回通知から72時間以内の中間報告、中間報告から1か月以内の最終報告です。金銭またはデータに影響を受けた顧客には遅滞なく通知しなければなりません。インシデント化していない重大なサイバー脅威は任意で報告できます。

レジリエンス試験と脅威主導型侵入テスト（TLPT）

デジタル・オペレーショナル・レジリエンス試験は年次プログラムです。重要または重大な機能を支えるすべてのシステムについて、脆弱性スキャン、ギャップ分析、ソースコードレビュー、シナリオ試験、性能試験、侵入試験を実施しなければなりません。規模または障害時の影響を理由に監督当局が重要と判断する企業には、さらに少なくとも3年ごとのTLPTが求められます。これは、認められた枠組みに従い、有資格の倫理的ハッカーが稼働中システムに対して行う統制された攻撃です。零細企業および簡素化枠組みの企業はTLPTを免除され、より軽いリスクベースのスケジュールで試験します。

第三者リスク、外部委託、情報登録簿

クラウドサービス提供者などにITを外部委託しても、責任まで委託できるわけではありません。ICT第三者リスク管理は、ベンダーリスクに関する文書化された戦略から始まります。企業は契約前にベンダーを確認し、単一提供者への過度な依存を避け、すべてのIT契約の構造化された一覧である情報登録簿を維持し、少なくとも年1回、監督当局へ提出しなければなりません。契約自体にも、サービス内容と保証水準、データ保存場所、検査・監査権、インシデント時の支援義務、契約終了方法、必要時に別の提供者へ移行する方法など、定められた条項を含める必要があります。ベンダーがEUレベルで監督される重要提供者であっても、企業は完全な責任を負い続けます。

サイバー脅威に関する情報共有

金融事業体は、信頼できるグループ内で攻撃パターンや侵害指標などの脅威インテリジェンスを共有できます。参加は強制ではありませんが、参加する企業は監督当局に通知し、共有において機密保持およびデータ保護の規則を遵守しなければなりません。

DORA・NIS2・GDPR：規則の関係

サイバーレジリエンスとインシデント報告には3つのEU法が重なり、多くの金融機関は複数の法律の対象になります。以下の表は、それぞれの対象と報告期限の違いを示します。

実務上、金融会社はITインシデントを国内サイバーセキュリティ機関ではなく金融監督当局へ報告します。GDPRは並行して適用されます。サイバー攻撃により顧客データが漏えいした場合、企業はDORAに基づき金融監督当局へ、GDPRに基づきデータ保護当局へ、異なる期限で二重に報告します。

DORAと暗号資産：CASP・トークン発行者への影響

暗号資産事業者にとって、DORA規則とMiCA枠組みは一対となって機能します。MiCAはEUで暗号資産サービスを提供し、またはトークンを発行できる者を決め、DORAはそのサービスを支える技術の運用方法を定めます。MiCAに基づき認可された暗号資産サービス提供者は、ライセンス取得の時点からDORA上の金融事業体となり、資産参照型トークンの発行者も同様です。MiCA自体がIT・セキュリティ要件についてDORAを参照しているため、すべての監督当局は両者を一体として解釈します。

実務上、レジリエンスは認可後だけでなく、ライセンス手続そのものにおいて確認されます。監督当局がCASPの申請を審査する際、ITリスク枠組み、事業継続計画、インシデント手順、外部委託体制も申請書類の一部であり、DORAが評価基準となります。暗号資産取引所やカストディアンは、書面上だけのレジリエンス計画ではライセンスを取得・維持できません。

暗号資産企業には、銀行にはないIT上の依存関係もあります。秘密鍵の保管、ブロックチェーンノード提供者、第三者ウォレット基盤、スマートコントラクトの構成要素、保守時間帯なしに24時間取引される市場などです。DORAの下では、これらはすべて、一覧化、分類、契約、試験が必要なIT資産またはベンダー関係となります。ホスティング、鍵管理、ブロックチェーン基盤の無認可サプライヤーも、顧客の契約を通じてDORAに対応することになります。

DORA違反の制裁、罰金、 санкション

DORA制裁について、EU全域で共通する単一の一覧はありません。第50条は各加盟国に「有効、比例的かつ抑止的」な制裁を定めるよう求め、監督当局には文書提出要求、立入検査、是正命令、警告の公表を行う権限を与えています。各加盟国の管轄当局が、その分野の認可法に基づいて適用するため、銀行、決済会社、暗号資産取引所はそれぞれの分野に固有の制裁体系に直面します。

「世界全体の平均日次売上高の1%」というDORA罰金を見かけたことがあるかもしれません。この数字は実在しますが、対象は別です。これは、監督上の決定を無視する重要ICT第三者提供者に対し、欧州監督当局が最長6か月間課せる日次制裁金です。銀行や暗号資産企業に対する罰金ではありません。また、併せて引用されることのある「年間売上高の2%」もDORAにはありません。これはNIS2に由来し、必須事業体に対し各国が設定すべき最低上限です。金融会社にとって現実的な影響は以下のとおりです。

• 監督措置――是正命令、事業活動の制限、重大な場合にはライセンスの停止または喪失。
• 分野別の国内法に基づく行政罰金。
• DORAがIT枠組みの責任を取締役会に負わせることによる、取締役の個人責任。
• 第52条が認める、刑事責任を追加した国における刑事責任。
• 評判・商業上の損害――顧客、銀行パートナー、投資家の喪失。

DORAを監督するのは誰？国内・EUレベルの規制当局

日常的なDORA監督は、すでに企業を認可している規制当局、すなわち本拠加盟国の中央銀行または金融監督当局が担います。この管轄当局はインシデント報告と情報登録簿を受領し、TLPTを実施すべき企業を決定し、通常の監督の一環としてICTリスク枠組みを確認します。多くの当局は、DORAに関するガイダンス、様式、期限をウェブサイトで公表しています。

EUレベルでは、欧州証券市場監督局、欧州銀行監督局、保険・年金監督当局であるEIOPAの3機関が役割を分担します。これらは詳細を補う技術基準を策定し、共同で重要ICT第三者提供者を指定します。指定された各提供者は、3機関のいずれかを主任監督者として監督を受けます。

DORAコンプライアンス・チェックリスト：対応方法

ライセンスを申請中か、すでに監督下にあるかを問わず、監査時にDORAコンプライアンスを証明する文書は共通しています。DORA導入計画またはギャップ分析の実践的な出発点は以下のとおりです。

• 適用範囲を確認する：第2条のどのカテゴリーに該当するか、簡素化枠組みまたは零細企業の免除が適用されるかを確認します。
• 重要または重大な機能を支えるすべてのIT資産、システム、データフローをマッピングします。
• 責任者を明記し、年次見直しを含む、取締役会承認済みのICTリスク管理方針を採用します。
• 法定期限に合致するインシデント分類、インシデント記録、報告様式を整備します。
• 年次試験カレンダーを作成し、監督当局のTLPT対象リストに入っているか確認します。
• すべてのIT提供者に関する情報登録簿を作成し、契約を義務的条項に合わせて更新します。
• 集中リスクを確認し、重要機能を支える提供者について退出計画を作成します。
• バックアップ、復元、IT継続計画を少なくとも年1回テストします。
• 取締役会に研修を行い、実施を証明する記録を保管します。

Eesti Firmaは、フィンテックおよび暗号資産企業に対し、DORAの法的側面について助言します。適用義務の確認、IT枠組みとMiCA認可要件の整合、ベンダー契約のレビュー、監督当局が確認を期待する文書の準備を支援します。本規則がお客様の事業にどのように適用されるか、ぜひご相談ください。

相談を申し込む

DORAに関するよくある質問