CFO から見た DORA：EU 金融機関の顧客との契約条項と制裁リスクをどう評価するか？

CFO がまず判定すべきこと：自社は DORA のどの立場か？

2025 年 11 月 18 日に公表された最初の重要 ICT 第三者サービス提供者 19 社のリストに、台湾企業は含まれていません。

EU の金融機関の顧客から DORA 条項への署名を求められたら、どんな契約責任とコストが増えるか？

第 30 条により、顧客が契約に盛り込む必要がある条項には、サービス内容、サービス提供とデータ処理の場所、ICT インシデント対応の支援、当局への協力、解約権が含まれます。重要または重大な機能を支える場合は、さらにサービスレベル、事業継続計画とテスト、監査権、撤退戦略などが加わります。顧客はあなたのサービスを情報登録簿にも記録します（EU 域外の事業者は LEI で識別）。

CFO は、これらの条項がもたらす継続的なコストと、撤退時のデータとサービスの移行の手配を見積もる必要があります。契約責任や管轄の法的意見が必要な場合は弁護士に相談してください。

制裁リスクはどれくらいか？DORA は全世界年間売上高の 2% か？

違います。

• 金融事業体：DORA は売上高の割合で計算する制裁金を定めておらず、罰則は第 50 条に基づき各加盟国が国内法で定める
• 重要 ICT 第三者サービス提供者：主任監督機関は第 35 条に基づき履行強制金を課すことができ、日割りで最長 6 か月、上限は前事業年度の全世界の 1 日平均売上高の 1%
• 重要と指定されていない事業者：通常は DORA の直接の義務はなく、要求は顧客との契約を通じて及ぶ

よく言われる「2%」は NIS2 第 34 条の不可欠事業体に関する規定で、NIS2 第 4 条により DORA の金融事業体には適用されません。

重大 ICT インシデントの報告期限で、事業者にどんな運用コストが増えるか？

委任規則 (EU) 2025/301 により：

• 初期通知：インシデントを重大と分類してから 4 時間以内、かつ認識してから 24 時間以内
• 中間報告：初期通知から 72 時間以内
• 最終報告：直近の中間報告から 1 か月以内

報告義務を負うのは金融事業体ですが、顧客は契約に基づき ICT 事業者にインシデント対応の支援と情報提供を求めます。CFO は、インシデント対応の人員と当番体制、契約上の支援義務の範囲が予算とサービスレベルに反映されているかを確認します。

DORA に認証はあるか？ISO 27001 や事業継続の制度が既にあれば、どれだけ節約できるか？

DORA に独立した認証はありません。ISO 27001 や事業継続マネジメントの基盤がある組織は、既存の文書と管理策を再利用でき、期間を明確に短縮でき、別の仕組みを作る必要はありません。

また、EU の金融事業体にサービスを提供していない場合や、顧客がセキュリティ質問票の記入だけを求め DORA の契約条項への署名を求めていない場合は、既存の ISO 27001 の制度と記録で回答すれば通常は十分です。これが CFO が過剰投資を避ける最初の判断ポイントです。

スケジュール：DORA の準備にどれくらいかかるか？

サービスページ記載の期間：

• ICT 事業者の契約上の義務への準備：通常 2〜3 か月
• 金融機関の完全な DORA 体制：通常 6〜9 か月
• ISO 27001 や事業継続マネジメントの基盤があれば明確に短縮できる

完全な体制は 5 段階です。適用性評価と範囲確認、ICT リスク管理体制の構築、インシデント報告 SOP の構築、第三者 ICT リスク管理、TLPT の計画と継続的なレジリエンステストです。

積穗科研は CFO の DORA 対応をどう支援するか？

• 副社長・取締役クラスのコンサルタントが外注せず一貫して支援します
• まず貴社が金融事業体か ICT 事業者かを判断し、契約上の義務の範囲と Register of Information の準備状況を確認します
• DORA の枠組みに沿ってギャップ分析を行い、章ごとに制度文書を整備します。重大と分類してから 4 時間以内の初期通知を含むインシデント報告 SOP も整えます
• TLPT の適用性評価と DORA＋NIS2 の統合評価を提供し、既存の ISO 27001 や事業継続の文書と管理策を再利用します

詳しく：DORA 対応支援、DORA コンサルタントの選び方、ISO 22301 事業継続、CFO 向けページ。無料のメカニズム診断を申し込む