DORA と NIS2 はどう関係するのか

NIS2 の必須または重要エンティティでもある金融機関にとって、DORA は NIS2 第 4 条にいう分野別の法令です（DORA 第 1 条第 2 項）。NIS2 前文第 28 項と欧州委員会のガイドライン（C/2023/6068、2023 年 9 月 18 日に EU 官報に掲載）により、加盟国はこれらの金融機関に NIS2 のサイバーセキュリティのリスク管理と報告の義務、監督と執行の規定を適用せず、DORA を適用します。NIS2 の国のサイバー危機管理の枠組み（第 9 条）と EU-CyCLONe（第 16 条）は引き続き適用されます。DORA の金融機関に当たらないグループ会社や ICT 供給者は、自らの立場で NIS2 の対象になることがあります。

台湾の ICT 事業者が DORA の当局から直接罰金を科されることはあるか

通常はありません。重要 ICT 第三者サービス提供者に指定されていない事業者には DORA の直接の義務はなく、要求は顧客の契約と情報登録簿を通じて及びます。金融機関に対する罰則は、各加盟国が第 50 条にもとづき国内法で定めます。重要 ICT 第三者サービス提供者に指定された場合に限り、主導監督機関が第 35 条にもとづき履行強制金を科すことができます。日ごとに科され、期間は最長 6 か月、金額は前事業年度の全世界の 1 日平均売上高の 1% が上限です。2025 年 11 月 18 日に公表された最初の 19 社の一覧に台湾企業は含まれていません。

DORA の罰金は全世界の年間売上高の 2% なのか

いいえ。DORA は金融機関に対して売上高の割合で計算する罰金を定めておらず、罰則は各加盟国が国内法で定め、効果的で、比例的で、抑止力のあるものでなければなりません（第 50 条）。よく引用される全世界の年間売上高の 2% は、NIS2 第 34 条の必須エンティティに対する規定で、NIS2 第 4 条により DORA の金融機関には適用されません。

DORA 対応支援にはどれくらいかかるのか

立場と既存の仕組みによります。積穗科研のサービスページに記載の経験では、ICT 供給者の契約上の義務の準備は通常 2〜3 か月、金融機関が DORA の枠組み全体を整えるには通常 6〜9 か月で、ISO 27001 や事業継続マネジメントの基盤がある場合は短くなります。

台湾で DORA コンサルタントを選ぶには：八つの判断基準

直答：DORA のコンサルタントに最初に聞くべきことは「自社は DORA に直接規制される金融機関なのか、それとも金融機関の ICT 第三者サービス提供者なのか」です。DORA（規則 (EU) 2022/2554、2025 年 1 月 17 日から適用）は、銀行、保険会社、投資会社、決済機関、暗号資産サービス提供者などの EU の金融機関を直接規制します。これらの機関にサービスを提供する台湾のソフトウェア、クラウド、セキュリティのサービス事業者は、通常は ICT 第三者サービス提供者です。義務は主に、顧客が第 30 条にもとづいて契約に盛り込まなければならない条項を通じて及びます（たとえば、サービスの説明、サービス提供とデータ処理の場所、ICT インシデントへの支援、監督当局への協力、解約の権利。重要または重大な機能を支えるサービスでは、サービスレベル、事業継続計画とテスト、監査権、出口戦略なども加わります）。顧客は、自社のサービスを情報登録簿に記録する必要もあります（様式は実施規則 (EU) 2024/2956、EU 域外の事業者は LEI で識別）。次に、これらの要求と、顧客から協力を求められる重大インシデントの報告とレジリエンステストを、既存の ISO 27001 と事業継続の仕組みの上に構築できるかを確認します。報告の期限は正しく数える必要があります。委任規則 (EU) 2025/301 により、初期通知はインシデントを重大と分類してから 4 時間以内、かつ認識してから 24 時間以内、中間報告は初期通知から 72 時間以内、最終報告は直近の中間報告から 1 か月以内です。

台湾企業によくある三つの立場

立場	判断の根拠	やること
EU の金融機関（EU に設立した子会社を含む）	第 2 条第 1 項に挙げられた金融機関に当たる	ICT リスク管理の枠組み、重大インシデントの分類と報告、レジリエンステスト、ICT 第三者リスク管理と情報登録簿
金融機関の ICT 第三者サービス提供者	上記の金融機関に ICT サービスを提供している	第 30 条の契約条項への対応、登録簿に必要な情報の提供、インシデント対応とテストへの協力、出口の準備
重要 ICT 第三者サービス提供者に指定された事業者	欧州監督機関が第 31 条にもとづき指定。2025 年 11 月 18 日に公表された最初の 19 社の一覧に台湾企業は含まれていない	主導監督機関による直接の監督を受ける。EU 域外の事業者は、金融機関が引き続きそのサービスを使えるよう、指定から 12 か月以内に EU に子会社を設ける必要がある

八つの判断基準

基準	どのコンサルタントにもそのまま聞ける質問
立場の判定	自社は金融機関、ICT 第三者サービス提供者、それとも重要 ICT 第三者サービス提供者に指定され得るのか。根拠はどの条文か
契約条項	顧客が第 30 条にもとづき求める条項は、それぞれどんな義務を意味するのか。重要または重大な機能では何が加わるのか
情報登録簿	顧客の情報登録簿のために、自社はどんな情報を提供する必要があるのか
重大インシデントの報告	委任規則 (EU) 2024/1772 にもとづき、インシデントが重大かどうかをどう判定するのか。初期通知（重大と分類してから 4 時間以内、かつ認識から 24 時間以内）、中間報告（72 時間以内）、最終報告（1 か月以内）はそれぞれ誰が担い、自社は何を提供するのか
レジリエンステスト	年次のテストはどのシステムを対象にするのか。脅威ベースのペネトレーションテスト（TLPT）は該当するか、自社はどう協力するのか
出口戦略	サービスの終了や乗り換えのとき、データとサービスをどう移し、移行期間はどれくらいか
既存の仕組みとの統合	既存の ISO 27001 と事業継続の仕組みの上に DORA の差分を補えるか。別の仕組みを作らずに済むか
誰が主導し、外注するか	実際に案件を率いるのは誰で、どんな資格を持つのか。再委託はあるか

コンサルタントが必要ない場合

EU の金融機関にサービスを提供していない場合や、顧客からセキュリティの質問票への回答だけを求められ、DORA の契約条項への署名は求められていない場合は、既存の ISO 27001 の仕組みと記録で答えれば通常は十分です。契約上の責任や管轄について法的な意見が必要なときは、弁護士に相談してください。

積穗科研の取り組み

以下は積穗科研自身による説明です。上の質問で、他のコンサルタントと同じように私たちも確かめてください。

立場の判定：DORA が適用される金融機関の種類に当たるのか、金融機関の ICT 供給者なのかを確認し、直接の義務と契約上の義務の範囲を評価します
ICT リスク管理の枠組み：DORA 第 II 章にもとづき、ICT 資産の棚卸し、リスクの特定と評価、保護、検知、対応と復旧の手順を整えます
インシデントの報告：重大インシデントの深刻度の評価基準と報告の流れを設計します
ICT 第三者リスク管理：サプライヤーのリスク評価の方法、必要な契約条項（監査権、データポータビリティ、出口戦略）、情報登録簿の維持を整えます
レジリエンステスト：年次のテスト計画を立て、TLPT が該当するかを評価し、テスト結果をリスク管理に反映させます
既存の仕組みとの統合：ISO 27001 や事業継続マネジメントの基盤がある場合は、既存の文書と管理策を再利用します
誰が主導するか：副社長・取締役クラスのコンサルタントが全工程を担当し、外注しません

コンプライアンスは三位一体、コンサルタントの価値は統合にある

CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。

側面	答えるべき問い	その側面だけ補った場合によくある欠落
プロセス（マネジメントシステム）	誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか	ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない
セキュリティ技術	管理策をどう設計し、有効性をどう検証するか	文書は整っているが、システムが実際にはそのとおり動いていない
法令遵守	どの法規が適用され、自社の役割は何か。期限と罰則は何か	管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない

積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。

関連サービス無料のメカニズム診断を申し込む