LASSIC Media らしくメディア

EUの金融機関にシステムやクラウド、運用サービスを提供している。あるいは、EUで金融まわりの事業を手がけている。そんな企業にとって、避けて通れなくなっているのがDORAです。金融分野の「デジタル耐性（オペレーショナル・レジリエンス）」を高めることをねらったEUの規則で、2025年1月から適用が始まりました。金融機関そのものだけでなく、それを支えるICTの提供者にも関わってくるのが、この規則の大きな特徴になります。

ややこしいのが、名前です。開発の現場では「DORA」というと、開発生産性を測る指標（Four Keys）を思い浮かべる方も多いかもしれません。ですが、本記事で扱うDORAはそれとは別物で、金融分野の規制を指すものです。本記事では、EUの金融機関と取引のあるシステム開発・運用の担当者に向けて、DORAとは何か、誰が対象で何を求められるのか、受託・委託の立場で何を押さえるべきかを整理します。なお、本記事は一般的な情報の整理であり、法的な助言ではありません。個別の適否は、公式文書や専門家にご確認ください。

EU DORAとは

DORA（Digital Operational Resilience Act）とは、EUが定めた、金融分野のデジタル耐性を高めるための規則です。金融機関が、システム障害やサイバー攻撃といったICT（情報通信技術）にまつわる混乱に見舞われても、持ちこたえ、対応し、立ち直れるようにする。そのための共通ルールを、EU全体で足並みをそろえて定めたものになります。銀行や保険、証券といった金融機関に、ICTのリスク管理や、事故が起きたときの報告、そして耐性を試すテストなどを求めます。

ここで押さえておきたいのが、DORAが「規則（レギュレーション）」という形をとっている点です。EUのルールには、各国が国内法へ落とし込んで初めて働く「指令」と、そのまま各国に直に適用される「規則」があります。DORAは後者にあたるため、EU全体で共通の内容が、そのまま直に及ぶのです。全体像を図にまとめました。

対象になる事業者と、適用の時期

DORAの対象は、大きく二つに分けられます。一つは、金融機関そのものです。銀行や保険会社、投資会社をはじめ、多くの種類の金融事業者が名を連ねています。もう一つが、それらの金融機関にICTを供給する「ICTサードパーティ」の提供者です。クラウドやソフトウェア、システムの運用といったサービスを担う委託先が、ここに含まれます。金融機関の耐性は、支える側のICT提供者まで含めて考えるべき、という発想が根っこにあるわけです。

適用の時期も押さえておきましょう。DORAは2023年1月に発効し、2025年1月から適用が始まっています。すでに動いている規則であり、これから備える段階というより、対応が問われている局面なのです。日本企業にとっては、EUの金融機関と取引があるかどうかが、まず関わりを見極める手がかりになります。取引がある場合、自社がどの立場でDORAに触れるのかを整理しておきたいところです。

DORAの5つの柱

DORAが求めることは、大きく五つの柱に整理できます。要点を一覧にまとめました。

一つ目のICTリスク管理は、すべての土台となる部分です。二つ目のインシデントの管理・報告では、事故を重大さで分類し、当局へ段階的に知らせることが求められます。三つ目のデジタル耐性のテストは、いざというときに持ちこたえられるかを、平時から試しておく取り組みです。規模の大きい金融機関には、より踏み込んだ試験が求められる場合もあります。四つ目のICT第三者リスク管理が、DORAならではの勘所で、次の章で詳しく触れます。五つ目の情報共有は、脅威の情報を業界で分かち合い、全体の備えを底上げしようとするものです。

委託先（ICTの提供者）の管理という特徴

DORAを語るうえで欠かせないのが、ICTサードパーティ、つまり委託先の管理を強く求めた点です。金融機関は、自社のシステムだけでなく、クラウドやソフトウェアの提供者といった委託先のICTリスクにも、目を配ることが求められます。委託にあたっては、求める要件を契約へ織り込み、依存が偏りすぎないよう気を配る、といった目配りが要るのです。金融の営みが、外部のICTに支えられている以上、そこが弱ければ全体が揺らぐ、という考え方が背景にあります。

さらに踏み込んだ仕組みも用意されています。多くの金融機関が頼るような、とりわけ重要なICT提供者は「重要な提供者」として位置づけられ、EUの当局から直接、監督を受けることになります。つまり、金融機関を介した間接的な求めだけでなく、提供者そのものに目が向けられる道筋があるわけです。委託先を含むサプライチェーンのセキュリティ管理は、DORA対応でも中心的なテーマになります。ICTを供給する側にとっては、自社が問われる立場になりうる、という認識が欠かせません。

開発指標の「DORA」との違い

冒頭でも触れたとおり、「DORA」という言葉には、まったく別の意味があります。開発の現場でいうDORAは、ソフトウェア開発の生産性を測る指標、いわゆるDORA（Four Keys）を指すことが多いものです。デプロイの頻度や変更のリードタイムなどから、開発と運用のパフォーマンスを捉える考え方で、本記事の金融規制とはまるで異なります。

同じ四文字でも、一方は金融分野の法規制、もう一方は開発チームの指標です。社内で「DORAへの対応を」といった話が出たとき、どちらを指しているのかを最初にそろえておくと、話がかみ合わないという事態を避けられます。金融機関と取引がある文脈で登場したなら本記事の規則を、開発の生産性の文脈で出てきたなら指標のほうを、と見分けるのが目安になるでしょう。

日本企業に関わる理由とNIS2との違い

DORAが日本企業に関わりうる主な道筋は、ICTの供給を通じたものです。EUの金融機関へ、クラウドやソフトウェア、運用サービスを提供している場合、その金融機関はDORAに沿って、委託先である自社にも一定の要件を求めてきます。契約の見直しや、耐性・セキュリティに関する取り決めといった形で、求めが向かってくることが考えられるのです。加えて、とりわけ重要な提供者と見なされれば、当局の監督が直接及ぶ道筋もあります。

関連して、先に取り上げたEU NIS2指令との違いも整理しておくと見通しが立ちます。NIS2が幅広い分野を横断的に対象とするのに対し、DORAは金融分野に的をしぼった、いわば専門のルールです。また、NIS2が各国の国内法に落とし込まれる「指令」であるのに対し、DORAはそのまま適用される「規則」だという違いもあります。金融に関わるなら、より具体的で直接的なDORAが軸になる、と捉えると分かりやすいでしょう。

まとめ：DORAで押さえる3つの視点

EU DORAは、金融分野のデジタル耐性に、EU共通のルールを敷いた規則です。押さえておきたい視点は三つに整理できます。第一に、DORAは金融機関にICTリスク管理・報告・耐性テストなどを求める規則であり、2025年1月から適用が始まっていること。第二に、金融機関だけでなくICTを供給する委託先にも関わり、とりわけ重要な提供者はEUの直接の監督を受けること。第三に、開発生産性の指標「DORA（Four Keys）」とは同名の別物であり、混同を避ける必要があることです。まずは、自社がEUの金融機関と取引を持つのか、持つとしてどの立場で関わるのかを見極めるところから。判断に迷う部分があれば、公式文書の確認とあわせて、外部の知見を頼るのも堅実な選び方といえます。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　参考：EUR-Lex「Digital operational resilience for the financial sector（Regulation (EU) 2022/2554, DORA）」（https://eur-lex.europa.eu/EN/legal-content/summary/digital-operational-resilience-for-the-financial-sector.html）。制度の概要・対象・適用時期の参考として。
2. *2　参考：EIOPA「Digital Operational Resilience Act (DORA)」（https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en）。5つの柱・委託先の監督の参考として。

Tweet