CISO が向き合う DORA：EU の金融顧客にサービスを提供するとき、契約・報告・テストで何を準備するか

当社は DORA の金融事業体ですか、それとも金融事業体の ICT 第三者サービス提供者ですか？

同じグループに両方の立場が併存することもあるため、法人ごとに判断します。

顧客が第 30 条に基づいて求める契約条項に対し、CISO はどんな証拠を準備しますか？

第 30 条は金融事業体に、サービスの説明、サービス提供とデータ処理の場所、ICT インシデント対応への協力、当局への協力、解約権を契約に盛り込むよう求めています。重要または重大な機能を支える場合は、サービスレベル、事業継続計画とテスト、監査権、退出戦略なども加わります。

CISO が準備できる証拠：

• サービスとデータ処理の場所の一覧
• インシデント対応と通知の手順
• 事業継続計画とテストの記録
• 監査の受け入れ体制と窓口

顧客は自社のサービスを情報登録簿にも記録します（様式は実施規則 (EU) 2024/2956、EU 域外の事業者は LEI で識別）。契約上の責任が関わる部分は法律顧問が確認してください。

重大 ICT インシデントの報告期限は？ICT 提供者はどこまで協力が必要ですか？

DORA 第 19 条と委任規則 (EU) 2025/301 第 5 条により、報告は金融事業体が行います。

重大かどうかは委任規則 (EU) 2024/1772 に基づいて判断します。提供者は、顧客が 4 時間以内に初期報告できるよう、誰がいつまでに何の情報を出すかを事前に取り決め、自社の対応手順にも書き込むべきです。

EU の金融子会社が NIS2 の要件にも当たる場合、インシデントは二重に報告しますか？

NIS2 の不可欠・重要事業体でもある金融事業体にとって、DORA は NIS2 第 4 条にいう分野別の法令です（DORA 第 1 条第 2 項）。NIS2 前文第 28 項と欧州委員会ガイドライン C/2023/6068 により、加盟国はこれらの金融事業体に NIS2 のリスク管理、報告、監督・執行の規定を適用せず、DORA を適用すべきとされています。NIS2 の国家サイバー危機管理の枠組み（第 9 条）と EU-CyCLONe（第 16 条）は引き続き適用されます。

DORA の金融事業体に当たらないグループ会社や ICT 提供者は、自らの立場で NIS2 の対象になり得ます。CISO はインシデント分類の手順で、法人ごとに DORA か NIS2 かを判断します。

台湾の ICT サービス事業者が DORA で直接罰せられることはありますか？取締役会にはリスクをどう説明しますか？

一般的にはありません。重要 ICT 第三者サービス提供者に指定されていない事業者には DORA の直接の義務はなく、要求は顧客の契約と情報登録簿を通じて及びます。金融事業体への罰則は、第 50 条に基づき各加盟国が国内法で定めます。指定された重要提供者に限り、主導監督機関は第 35 条に基づき定期的な制裁金を課せます。日ごとに、最長 6 か月、前事業年度の全世界の 1 日平均売上高の 1% が上限です。

よく言われる「全世界年間売上高の 2%」は NIS2 第 34 条の不可欠事業体に関する規定で、DORA の金融事業体には適用されません。取締役会への報告では、リスクを契約上の責任として示し、契約に照らした判断は法律顧問が行います。

顧客からレジリエンステスト、TLPT、退出戦略への協力を求められました。CISO はどう準備しますか？

• 年次テスト：顧客のテストが自社のどのシステムを対象にするかを確認し、自社のテストと保守の計画に組み込みます。
• TLPT：脅威ベースのペネトレーションテストが適用されるか、どう協力するかを確認し、結果をリスク管理に反映します。
• 退出戦略：サービス終了や移行の際にデータとサービスをどう移し、移行期間をどれくらいとるかを、実行可能な取り決めとして事前に書き出します。

EU の金融事業体にサービスを提供していない場合や、顧客がセキュリティ質問票だけを求め DORA の契約条項を求めていない場合は、既存の ISO 27001 の仕組みと記録で通常は足ります。

積穗科研は CISO の DORA 対応をどう支援しますか？

• 立場の判断：金融事業体か ICT 提供者かを判断し、契約上の義務の範囲と情報登録簿の準備状況を確認します。
• ギャップ分析：DORA の枠組みに沿って章ごとに文書を整え、重大と分類してから 4 時間以内の初期報告を含むインシデント報告 SOP を作ります。
• 第三者リスク：サプライヤーのリスク評価方法、必要な契約条項（監査権、データ可搬性、退出戦略）、登録簿の維持を整えます。
• テスト：TLPT の適用性評価とテスト計画、DORA と NIS2 の統合評価を提供します。
• 一つの証拠：ISO 27001 や事業継続マネジメントの基盤がある組織は、既存の文書と管理策を再利用します。
• 役割分担：副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。

関連ページ：DORA 支援、DORA コンサルタントの選び方、NIS2、ISO 22301。無料の仕組み診断を申し込む