法務・コンプライアンス責任者が見る DORA：第 30 条の契約、監査権、出口条項の交渉

当社は DORA の直接規制を受けるのか、それとも契約を通じて義務を負うだけか？

2025 年 11 月 18 日に公表された最初の 19 社の重要 ICT 第三者サービス提供者リストに台湾企業は含まれていません。顧客の情報登録簿では EU 域外の事業者を LEI で識別します。法務部門は自社が LEI を取得済みかを確認し、登録簿に必要な情報を提供する担当を決めます。

顧客が第 30 条に基づき求める条項は何か？重要または重大な機能を支える場合にのみ加わるものは？

法務・コンプライアンス責任者のレビューの要点：

• データ処理場所：どの国が記載されているか。将来のデータセンター変更や再委託を制約しないか
• 当局への協力：EU 当局の要求に台湾からどう対応し、誰が窓口になるか
• 機能の位置づけ：顧客が貴社のサービスを「重要または重大な機能」を支えるものと見るかで条項の量が変わる。判断するのは顧客なので、契約前に確認する
• 再委託：貴社のクラウドや下流サプライヤーとの契約で、顧客への約束を裏づけられるか

期間（サービスページ記載）：ICT サプライヤーの契約上の義務への準備は通常 2〜3 か月です。

金融機関の顧客が「無制限」の監査権を求めている。頻度を制限したり、ISO 27001 認証で代替したりできるか？

重要または重大な機能を支える場合、第 30 条第 3 項 (e)(i) は、金融事業体またはその指定する第三者による無制限のアクセス・検査・監査の権利を求めています（EIOPA の Q&A が条文を引用）。ESMA は Q&A 2646（2025 年 9 月 18 日）で次のように説明しています。

• DORA は、金融事業体が監査要件をどう実施するかを制限していない
• 監査頻度は金融事業体が合意するもので、ICT 事業者が一方的に課すものではない
• 頻度を合意した場合でも、金融事業体がアドホック監査を実施できるようにしなければならない

したがって交渉できるのは「監査するか」ではなく「どう監査するか」です。事前通知期間、範囲、秘密保持（他の顧客のデータに触れないこと）、費用負担、そして ISO 27001 認証と監査報告書を定例の裏づけとしつつアドホック監査は残すこと。認証で特定の監査を代替できるかは金融事業体が決めます。

解除と出口の条項：顧客はどんな場合に解除できるのか？移行支援をどこまで約束すべきか？

第 30 条はすべての契約に解除権の明記を求め、重要または重大な機能を支える場合は出口戦略も求めます。顧客は、サービスの終了や切替時にデータとサービスをどう移すか、移行期間はどれくらいかを尋ねてきます。法務・コンプライアンス責任者の枠組み：

各条項の法的効果は弁護士が個別に判断します。

自国の法律がデータへのアクセスや開示を制限しており、DORA の契約条項と抵触する場合は？

ICT 事業者が実際に直面する越境的な抵触です。欧州保険・年金監督機構（EIOPA）の DORA Q&A には、フィンランドの電子通信サービス法が通信事業者のデータへのアクセス提供を認めておらず、第 30 条第 3 項 (e)(i) の無制限のアクセス・検査・監査の権利と抵触するという質問が寄せられました。EIOPA は、Q&A ツールは法的枠組みの正しさに疑義を呈する質問には回答しないとして却下し、答えを示していません。

DORA が抵触を解決してくれるわけではないため、条項を先に詰めておきます。

• 契約前の棚卸し：台湾その他の国の法律で、データの越境移転、アクセス、開示を制限する規定を洗い出し、契約のデータ処理場所、監査、当局協力の条項と照合する
• 契約への明記：抵触が生じたときの通知、代替手段の協議、解除の手順
• 判断者：抵触の有無と条項の書き方は、両国の法律に詳しい弁護士が判断する

重大な ICT 関連インシデントが起きたとき、金融機関の顧客に対する報告と支援の義務は？

当局に報告するのは金融事業体であって貴社ではありませんが、貴社の支援が期限に間に合うかを左右します。委任規則 (EU) 2025/301 によれば：

• 初期通知：重大と分類してから 4 時間以内、かつインシデントを認識してから 24 時間以内
• 中間報告：初期通知から 72 時間以内
• 最終報告：直近の中間報告から 1 か月以内

重大か否かは委任規則 (EU) 2024/1772 により判定します。すべての契約に ICT インシデント対応の支援条項が必要です。法務・コンプライアンス責任者は、顧客への通知の速さ、提供する情報、支援が別料金か、顧客の最終報告を支えるためにインシデント記録をどう保全するかを確認します。NIS2 の対象でもある EU 金融事業体については、サイバーセキュリティのリスク管理と報告は DORA が適用されます（DORA 第 1 条第 2 項、欧州委員会ガイドライン C/2023/6068）。

積穗科研は法務・コンプライアンス責任者の DORA 対応をどう支援するのか？

• 身分の判定：DORA が適用される金融事業体の類型か、金融事業体の ICT サプライヤーかを確認し、直接義務と契約上の義務の範囲を評価
• ICT 第三者リスク管理：サプライヤーのリスク評価手法、契約の必須条項（監査権、データポータビリティ、出口戦略）、情報登録簿の維持を整備
• インシデント報告：重大インシデントの深刻度評価基準と報告フローを設計
• レジリエンステスト：年間テスト計画を立て、TLPT の適用可否を評価
• 既存の仕組みとの統合：ISO 27001 や事業継続マネジメントの基盤がある場合は既存の文書と管理策を再利用
• 担当者：副総経理・取締役級のコンサルタントが一貫して担当し、外注しません

契約責任や管轄の法的意見が必要な場合は、弁護士に相談すべきです。詳しくは：DORA 対応支援、台湾の DORA コンサルタントの選び方、NIS2 対応支援。無料のメカニズム診断を申し込む