DORA · EU Digital Operational Resilience Act 概観

ウィキ上の位置づけ

この項目は フィンテック の下に位置づけられる。隣接文脈として 日本金融規制 — トークン・暗号資産・決済に関する法体系、より広いシステム境界として 日本 Stablecoin 法制度の三層構造（JPYC・USDC・Project Pax） とあわせて読む。

[!info] 要約 DORA(Regulation (EU) 2022/2554)は 2025-01-17 に全面施行され、EU 全ての金融機関 + その critical ICT 第三者サプライヤー(cloud / ウォレット provider / blockchain infrastructure を含む)に 5 本柱の要件を課す:ICT risk management / incident reporting / digital operational resilience testing / third-party risk / information sharing。MiCA と相まって「業務 + レジリエンス」二軌監督を形成する。

主要事実

• DORA 採択:2022-12-14(Regulation (EU) 2022/2554)^•
• DORA 施行:2025-01-17(全条項)^•
• 適用範囲:EU 金融機関約 22,000 社 + ICT サプライヤー 3,000+ 社 ^•
• 罰金上限:金融機関は世界売上の 1% + ICT サプライヤーは売上の 1% ^•
• ESAs は 2024-07 に 9 セットの Level 2 RTS/ITS を公表 ^•
• Major incident は 4 時間以内に初報 + 72 時間以内に詳報 ^•
• TLPT フレームワーク:約 5 年で全 significant 金融機関をカバー ^•
• DORA Joint Committee は EBA + ESMA + EIOPA の三者構成 ^•

仕組み / どのように機能するか

五本柱:

• ICT Risk Management (Art. 5-16):ガバナンスフレーム · CEO / Board に直接責任 · 資産 inventory + リスク評価 · Business Continuity Plan + Disaster Recovery
• ICT-関連項目 Incident Reporting (Art. 17-23):Major incident は 4 時間以内に初報 + 72 時間以内に詳報 · EU 共通テンプレート(ESAs 2024-07 RTS)
• Digital Operational Resilience Testing (Art. 24-27):3 年ごとに Threat-Led Penetration Testing (TLPT) · TIBER-EU フレームワークに基づく · クロスボーダー協調テスト
• ICT Third-Party Risk (Art. 28-44):Critical Third-Party Provider (CTPP) は ESAs が直接監督 · cloud / blockchain infra / ウォレット provider をカバー — 詳細は DORA CTPP 第三者リスク を参照
• Information Sharing (Art. 45):任意の脅威インテリジェンス共有 · US FS-ISAC に類似

起源と変遷

DORA は 2020-09 の EU Commission Digital Finance Package の一部として提案され、MiCA と同時期に推進された。2022-12 採択、2025-01 全面施行。ESAs(EBA + ESMA + EIOPA)が 2024-07 に 9 セットの Level 2 RTS/ITS を公表し、9 つのサブ領域を落とし込んだ。米国対応:FFIEC IT Handbook · NYDFS Part 500 · OCC Heightened Standards · MRA の次元で USA-EU MRA には DORA-equivalent 条項を含める必要があり、詳細は MiCA クロスボーダー含意 を参照。

関連項目

• Wiki Index
• DORA CTPP 第三者リスク
• MiCA EMT vs ART サブ分類の深掘り · 規制負担によるプロダクト形状づけ
• 三円 MRA フレームワーク
• GENIUS Act §501

出典