CRO と DORA：ICT 第三者リスクとオペレーショナル・レジリエンスをリスクマップにどう載せるか

自社は DORA の金融事業体か ICT サプライヤーか？このリスクはリスクマップのどの区分に入りますか？

DORA は 2025 年 1 月 17 日から適用されています。「上市上櫃公司風険管理実務守則」第 18 条の区分では情報リスクと法令遵守リスクに入り、第三者の集中度と出口は業務リスクにも影響します。この守則は上場・店頭公開企業が参照するもので、公開発行会社でない企業はこの守則の対象外で、任意に参考にできます。

DORA は取締役会（経営管理機関）に何を求めますか？CRO の報告は何を含めるべきですか？

第 5 条第 2 項により、金融事業体の経営管理機関は次のことを行います。

• ICT リスク管理に最終責任を負う
• ICT リスク許容度を含むデジタル・オペレーショナル・レジリエンス戦略を承認する
• ICT 事業継続方針と ICT 対応・復旧計画を承認し、監督し、定期的に見直す
• ICT 内部監査計画を承認・定期的に見直し、レジリエンスに必要な予算を配分する
• ICT 第三者サービスの利用方針を承認し、ICT 第三者との取り決め、重要な変更、重大 ICT インシデントの影響を把握する報告経路を設ける

第 5 条第 4 項は、経営管理機関のメンバーが定期的に研修を受け、ICT リスクを理解・評価できる十分な知識を保つことを求めます。CRO の報告はこれらの項目に沿って、許容度と実態、第三者への依存、インシデントとテスト結果で構成できます。

ICT 第三者の集中リスクと出口戦略を、CRO はどう評価しますか？

DORA は第三者リスクを ICT リスク管理フレームワークに明示的に組み込み、集中リスクを考慮することを求めます（第 28、29 条）。すべての ICT サービス契約は情報登録簿に記録し、重要または重要な機能を支えるかを示します。重要または重要な機能を支える委託には、常に利用可能な出口戦略が必要です。

評価の観点：

• 集中度：どの重要機能が同じ提供者、同じクラウド、同じ拠点に依存しているか
• 代替可能性：切り替えにどれだけかかるか、移行期間中もサービスを維持できるか
• 契約：第 30 条の条項がそろっているか（サービス内容、データ処理場所、インシデント支援、解約権。重要機能にはサービスレベル、事業継続テスト、監査権、出口戦略も）
• 登録簿：情報が完全で、実際の契約と一致しているか

2025 年 11 月 18 日に公表された最初の重要 ICT 第三者サービス提供者 19 社に台湾企業は含まれていません。

重大 ICT インシデントの判定基準は、そのまま KRI の閾値に使えますか？

KRI 区分の骨格として使えます。委任規則 (EU) 2024/1772 の分類基準は、影響を受けた顧客・金融取引相手・取引、評判への影響、継続時間とサービス停止時間、地理的広がり、データの可用性・真正性・完全性・機密性への影響、経済的影響です。重要なサービスに影響し、かつ成功した悪意ある不正アクセスがあるか、二つ以上の重要性閾値に達した場合に重大インシデントとなります。

重大インシデントの報告期限：重大と分類してから 4 時間以内、かつ検知から 24 時間以内に初報、初報から 72 時間以内に中間報告、直近の中間報告から 1 か月以内に最終報告。

実務では、同じ基準で法定閾値より早く発動する早期警戒値を設け、KRI、インシデント分類、報告手順が同じ言葉を使うようにします。各閾値の数値は 2024/1772 の条文に従います。

DORA の制裁エクスポージャーはどう見積もりますか？全世界売上高の 2% ですか？

違います。DORA は金融事業体に対して売上高の割合による制裁金を定めておらず、制裁は第 50 条に基づき各加盟国が国内法で定め、効果的、比例的かつ抑止的でなければなりません。「全世界年間売上高の 2%」は NIS2 第 34 条の不可欠な事業体に関する規定で、NIS2 第 4 条により DORA の金融事業体には適用されません。

重要 ICT 第三者サービス提供者に指定された場合にのみ、主導監督当局が第 35 条に基づき履行強制金を課せます。日ごとに、最長 6 か月、前事業年度の全世界の 1 日平均売上高の 1% が上限です。

台湾の ICT サプライヤーにとって影響評価の中心は契約で、顧客による解約、監査での指摘、損害賠償条項です。契約上の責任は法律顧問に個別に評価してもらってください。

DORA の事業継続とレジリエンステストは、ISO 22301 とどうつなげますか？

DORA 第 11、12 条は ICT 事業継続方針、バックアップと復旧、テストを求めます。必要なのは証明書ではなく「措置が存在しテストされていること」で、ISO 22301 の事業影響度分析、戦略、演習がまさにその証拠になります。

あわせて年次のレジリエンステストを計画し、脅威ベースのペネトレーションテスト（TLPT）の適用有無を評価します。ISO 22301 の期間（サービスページ記載）は通常 4〜7 か月、ISO 27001 取得済みなら約 3〜5 か月です。

積穗科研は CRO の DORA 対応をどう支援しますか？

• 立場の判定：金融事業体か ICT サプライヤーかを確認し、直接・契約上の義務の範囲と登録簿の準備状況を評価
• ICT リスク管理フレームワーク：第 II 章に沿って、資産棚卸し、リスク評価、保護、検知、対応、復旧の手順を構築
• インシデントと第三者：重大インシデントの分類基準と報告 SOP。サプライヤーのリスク評価方法、必須契約条項、登録簿の維持
• レジリエンステスト：年次テスト計画と TLPT の適用性評価。DORA＋NIS2 の統合評価も提供
• 期間（サービスページ記載）：ICT サプライヤーの契約義務への準備は通常 2〜3 か月、金融機関のフレームワーク全体は通常 6〜9 か月で、ISO 27001／BCM の基盤があれば短縮可能
• 担当：副社長・取締役クラスのコンサルタントが外注せず一貫して担当。初回の診断は無料

詳しく：DORA 支援、DORA コンサルタントの選び方、ISO 22301、CRO 向けページ