デジタル・オペレーショナル・レジリエンス・アクト (DORA) とは。

DORAは、金融機関とそのクリティカルな外部技術サービス・プロバイダーに適用される技術標準を定めています。2025年1月17日に初めて発効しました。

DORA には 2 つの主な目的があります。1 つは金融サービス部門における ICT リスク管理に包括的に取り組むこと、もう 1 つは各 EU 加盟国にすでに存在する ICT リスク管理規制を調和させることです。

DORAが施行される前は、EUの金融機関に適用されていたリスク管理規制は主に、企業が業務リスクをカバーするのに十分な資本を確保することに重点を置いていました。EU規制当局の中には、 ICTとセキュリティー・リスク管理 に関するガイドラインを発表しているところもありました。しかし、これらのガイドラインはすべての金融機関に対して一律に適用されるものではなく、特定の技術基準ではなく一般原則に依存していることが多いものでした。EU全域に適用されるICTリスク管理規則が存在しなかったため、EU加盟国はそれぞれに独自の要求事項を定めていました。このパッチワークのような規制では、金融機関による対応が難しいことが明らかになったのです。

DORAの導入により、EUは金融セクターにおけるICTリスクを管理・軽減するための普遍的な枠組みを確立することを目指しています。DORAは、EU全域で一貫したリスク管理ルールを適用することにより、EU加盟国がそれぞれに定める異なる規制間で生じる可能性のあるギャップ、重複、および矛盾を取り除くことを目指しています。一連のルールを共有することで、金融機関の遵守が容易になるとともに、すべての金融機関が同じ基準を遵守することで、EUの金融システム全体のレジリエンスが向上します。

DORAはEU域内のすべての金融機関に適用されます。 銀行、投資会社、信用機関などの従来型金融機関と、暗号資産サービス・プロバイダーやクラウドファンディング・プラットフォームなどの新しいタイプの金融機関が対象です。

特に、DORAは、通常は金融規制の対象外とされる一部の事業体にも適用されます。例えば、クラウド・サービス・プロバイダーやデータセンターなど、金融機関にICTシステムとサービスを提供する外部のサービス・プロバイダーも、DORA要件に従う必要があります。DORAは、信用格付けサービスやデータ分析プロバイダーなど、クリティカルな外部情報サービスを提供する企業も対象としています。

外部のサービス・プロバイダーに重点が置かれているということは、ヨーロッパ以外に拠点を置く企業でも規制遵守の責任を負う可能性があるということです。例えば、インドの多くの企業はヨーロッパのクライアントにITおよびビジネスプロセスのアウトソーシングサービスを提供しています。これらのインド企業は、コンプライアンスを維持するためにDORAの規制要件に注意を払う必要があります。その他の要件に加え、これらの企業は強力なサイバー・レジリエンスと事業継続性の対策を実証する必要があります。

DORAは、長年の策定期間を経て、2025年1月17日時点で発効し、施行可能となっています。

DORAは、2020年9月にEUの行政執行機関である欧州委員会によって、初めて提案されました。これは、暗号資産を規制し、EU全域のデジタル金融ストラテジーを強化する取り組みも含んだ、大規模なデジタル金融法案の一部です。欧州連合理事会と欧州議会（EU法の承認を担当する立法機関）は、2022年11月にDORAを正式に採択しました。

同規則の採択後、重要な詳細は欧州監督当局（ESA）によって検討されました。ESAは、欧州銀行監督局（EBA）、欧州証券市場監督局、欧州保険年金監督局などを含む、EUの金融システムを監督する規制当局です。

ESAは、対象事業体が実施しなければならない規制技術基準（RTS）と実施技術基準（ITS）の起草を担当しました。これらの基準の多くは2024年に最終決定されました。例えば2024年3月には、規制当局が、ICTリスク管理ツール、方法、プロセス、ポリシーを規定する規制技術基準を公表しました。また、主要なICT関連のインシデントとサイバー脅威の分類基準も明記しました。同じく2024年には、欧州委員会がクリティカルなICTプロバイダー向けの監視フレームワークの開発に着手しました。

DORAフレームワークは、2025年7月時点で完全したとみなされています。

現在、施行は「管轄当局」と呼ばれる各EU加盟国の指定規制当局に委ねられています。管轄当局は、金融機関に対して特定のセキュリティー対策を講じ、脆弱性を是正するよう要求することができます。また、非遵守の金融機関に対して行政罰、場合によっては刑事罰を科すこともできるようになります。各加盟国は罰則をそれぞれに決定することができます。

欧州委員会によって「クリティカル」と判断されたICTプロバイダーは、ESAsの主任監督者によって直接監督されます。2025年11月には、規制当局が19社を「クリティカル」と指定しました。このリストにはAmazon、Google、IBMが含まれています。

管轄当局と同様に、主任監督者はセキュリティー対策と是正措置を要求し、準拠していないICTプロバイダーに罰則を科すことができます。DORAは、主任監督者が非遵守のICTプロバイダーに対して、前事業年度の当該プロバイダーの1日平均世界売上高の1％に相当する罰金を科すことを認めています。プロバイダーは、コンプライアンスを達成するまで、最長6か月間にわたり毎日罰金が科される可能性があります。

DORAは、金融機関とICTプロバイダーの技術要件を次の4分野に分けて定めています。

• ICTリスク管理とガバナンス
• インシデント対応と報告
• デジタル・オペレーショナル・レジリエンス・テスト
• サードパーティーのリスク管理

情報の共有は推奨されますが、必須ではありません。

要求事項は組織の規模に応じて適用されることが予想されるため、小規模な金融機関は大手金融機関と同じ基準が適用されることはありません。2025年はまだ大規模な執行活動が注目を集めていませんが、一部の法律専門家は2026年をDORAが成熟期に入る年と指摘しています。PwC Legal社のグローバルおよび欧州金融サービス法務リーダーのMichael Huertas氏は、「取締役会は、従来の健全性指標ではなく、オペレーショナル・レジリエンスに重点を置いた監督関与の新たなリズムに備える必要があります」と述べています。

DORAは、企業の経営陣にICTに対する管理責任を課しています。取締役会メンバー、執行幹部、およびその他の上級管理者は、適切なリスク管理戦略を定義し、その実行を積極的に支援し、ICTリスク状況に関する最新の知識を維持することが期待されます。幹部はまた、企業の非遵守に対して個人的な責任を負わされる可能性もあります。

対象となる企業は、包括的なICTリスク管理フレームワークを策定することが期待されます。企業は、ICTシステムをマッピングし、重大な資産と機能を識別および分類し、資産、システム、プロセス、プロバイダー間の依存関係を文書化する必要があります。 企業は、ICTシステムの継続的なリスクを評価し、サイバー脅威を文書化して分類し、特定されたリスクを軽減するための手順を文書化する必要があります。

リスク評価プロセスの一環として、企業はビジネス影響分析を実施して、特定のシナリオや深刻な混乱がビジネスにどのような影響を与えるかを評価する必要があります。企業は、リスク許容度のレベルを明確にし、ICTインフラストラクチャーの設計に役立つ情報を提供するために、これらの分析の結果を使用します。また、各企業は、IDおよびアクセス管理（IAM）やパッチ管理に関するポリシーなどが、適切なサイバーセキュリティー保護対策を実施することが義務付けられます。さらに、拡張検知と対応システム、セキュリティー情報およびイベント管理（SIEM）ソフトウェア、セキュリティー・オーケストレーション、自動化、対応（SOAR）ツールなどの技術的制御も併せて導入することが求められます。

また、企業は、ICTサービスの障害、自然災害、サイバー攻撃など、さまざまなサイバーリスクのシナリオに対して、事業継続性と災害復旧計画を作成しておく必要もあります。これらの計画には、データのバックアップとレジリエンス対策、システム復元プロセス、影響を受ける顧客、パートナー、政府当局との連絡計画が含まれている必要があります。

対象となる事業体は、 ICT関連のインシデントを監視、管理、記録、分類、報告するためのシステムを確立する必要があります。インシデントの重大性によっては、企業は規制当局だけではなく、影響を受ける顧客やパートナーの双方にも報告する必要があるかもしれません。

クリティカルなインシデントについて企業は、規制当局に通知する初期報告書、インシデント解決に向けた進捗状況に関する中間報告書、インシデントの根本原因を分析する最終報告書の異なる3種類の報告書の提出が求められます。

インシデント管理に関する規則、インシデントの分類方法、報告しなければならないインシデント、報告のスケジュールは、2024年3月に公表されました。

ESAはまた、EU全体の中心的なレポート作成ハブと共通レポート・テンプレートを確立することで、報告を効率化する方法を模索しました。2025年1月、ESAは「主要なICT関連インシデントの報告のさらなる一元化の実現可能性に関する報告書」を発行しました。このレポートでは、「単一のEUハブ・シナリオは実現可能で、一定のメリットをもたらす」と結論付けていますが、そのようなハブを展開するには少なくとも5年はかかる見込みです。現在のところ、レポート作成ソリューションは国家レベルで存在しています。

事業体は、ICTシステムを定期的にテストして、保護の強度を評価し、脆弱性を特定する必要があります。 これらのテストの結果と、特定された脆弱性を是正するための計画は、関連当局に報告され、検証されます。

企業は、脆弱性評価やシナリオベースのテストなどの基本的なテストを年に1回実施しなければなりません。金融システムにおいてクリティカルな役割を果たすと判断された金融機関は、3年ごとに脅威ベースのペネトレーション・テスト（TLPT）を実施する必要もあります。企業にとってクリティカルなICTプロバイダーも、これらのペネトレーション・テストに参加することが義務付けられています。TLPTの実施方法に関する技術基準は、2025年6月18日にEUの公式ジャーナルに掲載され、20日後に発効しました。

DORA特有の側面の1つは、DORAが金融機関だけでなく、金融部門にサービスを提供するICTプロバイダーにも適用されることです。

金融機関はICTのサードパーティーのリスク評価と管理に積極的に関与することが期待されています。クリティカルかつ重要な機能を外部に委託する場合、金融機関は、出口戦略、監査、そしてアクセシビリティー、完全性、セキュリティーなどのパフォーマンス目標に関して、契約上の取り決めについて交渉する必要があります。企業は、これらの要件を満たさないICTプロバイダーと契約することはできません。管轄当局は、非遵守の契約を一時停止または終了する権限が与えられています。

金融機関はまた、サードパーティーのICTへの依存関係をマッピングする必要があり、クリティカルで重要な機能が単一のプロバイダーまたは小規模なプロバイダー・グループに集中しすぎないようにする必要があります。

クリティカルな外部ICTサービス・プロバイダーは、関連するESAから直接監督されます。前述のとおり、現在19社がこれらの基準を満たしており、ESAの1つを主任監督者として割り当てる予定です。主任監督者はクリティカルなプロバイダーにDORA要件を強制することに加えて、DORAを遵守していない金融機関やその他のICTプロバイダーとの契約締結を禁止する権限が与えられています。

金融機関は、ICT関連の内外のインシデントから学ぶためのプロセスを確立することが求められます。そのために、DORAは脅威インテリジェンスの共有プログラムに自主的に参加することを奨励しています。この方法で共有される情報は、関連するガイドラインの下で今後も保護される必要があります。例えば、個人情報は、引き続き一般データ保護規則の対象となります。