DORA対NIS2：NIS2プログラムで既にカバーされている範囲

EU域内の金融機関に所属している場合、問題はDORAとNIS2のどちらがセキュリティプログラムに適用されるかではありません。NIS2は、少なくとも同等のサイバーセキュリティ要件を定める分野固有のEU法令を優先させることができ、金融分野においてその法令はデジタル・オペレーショナル・レジリエンス法、規則(EU)2022/2554であり、2025年1月17日から適用されています。

実務上の問いは別にあります。すでにNIS2プログラムを構築している場合、またはグループの他の部分でそれを運用している場合、どの程度を引き継げるのでしょうか。当サイトのデータは、条文ごとにその答えを示します。

主要な数値

DORA の 22 件の条のうち、20 件（91%）は NIS2 の何らかの項目にマッピングされ、1 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

これは「NIS2の作業がすでに指している先」として読んでください。「完了」を意味するものではありません。DORAとNIS2を結ぶ公表された対応表はないため、ここにあるすべての対応関係はControlMappingの編集によるものです。DORAを段落および号レベルで、NIS2の実施規則と同じセキュリティトピックにマッピングしており、各対応関係の理由は要件ページに示しています。

DORAの条文ごとの対応

DORA	要件	一致	NIS2
Art.5(2)(a)	Governance and organisation	編集	2.17.11.22.2
Art.6(1)	ICT risk management framework	編集	2.17.113.113.2
Art.7	ICT systems, protocols and tools	当サイトのデータにはマッピングがありません	—
Art.8(1)	Identification	編集	12.112.42.16.5
Art.9(1)	Protection and prevention	編集	3.212.212.31.1
Art.10(1)	Detection	編集	3.23.410.210.4
Art.11(1)	Response and recovery	編集	4.14.33.13.5
Art.12(1)	Backup policies and procedures, restoration and recovery procedures and methods	編集	4.24.1
Art.13(1)	Learning and evolving	編集	3.53.68.18.2
Art.14(1)	Communication	編集	4.3
Art.16(1)	Simplified ICT risk management framework	編集	2.17.1
Art.17(1)	ICT-related incident management process	編集	3.13.54.3
Art.18(1)	Classification of ICT-related incidents and cyber threats	編集	3.13.33.5
Art.19(1)	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	編集	3.3
Art.24(1)	General requirements for the performance of digital operational resilience testing	編集	2.17.1
Art.25(1)	Testing of ICT tools and systems	編集	6.56.10
Art.26(1)	Advanced testing of ICT tools, systems and processes based on TLPT	編集	6.56.10
Art.27(1)	Requirements for testers for the carrying out of TLPT	編集	6.56.10
Art.28(2)	General principles	編集	5.16.15.2
Art.29(1)	Preliminary assessment of ICT concentration risk at entity level	編集	5.16.1
Art.30(2)	Key contractual provisions	編集	5.15.26.112.5
Art.45(1)	Information-sharing arrangements on cyber threat information and intelligence	緩やかに関連	2.14.36.10

重なりが広いのは、両文書が同じプログラムを記述しているからです。具体的には、文書化されたリスク管理フレームワーク、資産の特定、防御と検知、インシデント対応、事業継続、サプライヤーのセキュリティです。DORAに実施規則上の直接の対応物がある場合、主題は一致しますが、詳細は一致しないことが多いです。

DORAが追加する事項

• 情報登録簿。 Article 28(3)は、ICTサービスに関するすべての契約上の取り決めの登録簿を、法人単位およびグループ単位で保持し、所管当局へ毎年報告することを求めています。NIS2はサプライヤーのセキュリティの管理を求めていますが、規制対象となる登録簿までは求めていません。
• 必須の契約条件。 Article 30は、すべてのICTサービス契約に含めなければならない事項を列挙しています。データの処理場所、データへのアクセスと返還、インシデント発生時の支援（追加費用なし、または事前に定めた費用）、解除権などが含まれます。重大または重要な機能に関する契約には、監査権、脅威ベースのテストへの参加、出口期間が追加されます。
• 集中リスクと出口戦略。 契約前に、Article 29はプロバイダーの代替が困難かどうか、および再委託の連鎖が自社にどのように影響するかを問うています。Article 28(8)は、重大または重要な機能について、検証済みの出口戦略を求めています。
• 脅威ベースの侵入テスト。 所管当局に選定された事業体は、本番稼働中のシステムに対して、少なくとも3年に1回TLPTを実施しなければなりません（Article 26）。テスターはArticle 27の要件を満たす必要があります。NIS2の実施規則は対策の有効性の評価を求めていますが、TLPTを規定してはいません。
• インシデントの分類と段階的な報告。 Article 18は、インシデントが重大かどうかを判定する基準を定め、Article 19は初期通知、中間報告、最終報告を求めています。NIS2には独自の期限があります。24時間以内の早期警告、72時間以内の通知、1か月以内の最終報告です。グループ内の異なる部分で両方の制度に基づいて報告する場合は、手順を2つ維持してください。
• 経営陣の義務の明記。 両制度とも経営陣に責任を課しています。DORAは、経営陣が承認すべき事項を具体的に定めており、デジタル・オペレーショナル・レジリエンス戦略からICT第三者サービスに関する方針までが含まれます（Article 5(2)）。

逆方向の対応

NIS2 の 49 件の要件ポイントのうち、44 件（90%）は DORA の何らかの項目にマッピングされ、5 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

DORAから見ると、NIS2の実施規則が実質的に新たに追加するものはわずかです。当サイトのデータでは、いくつかの要件のポイントはDORAと大まかな成果を共有しているにすぎません。通常、DORAがその主題を技術規準で扱っており、当サイトではそれをマッピングしていないためです。以下を確認してください：

NIS2	要件	一致	DORA
6.2	Secure development life cycle	緩やかに関連	Art.8(1)Art.8(4)Art.8(6)
6.3	Configuration management	緩やかに関連	Art.28(8)Art.30(2)
6.9	Protection against malicious and unauthorised software	緩やかに関連	Art.9(1)Art.10(1)Art.10(3)Art.10(2)
10.1	Human resources security	緩やかに関連	Art.5(4)Art.10(3)Art.13(6)
10.3	Termination or change of employment procedures	緩やかに関連	Art.10(3)

すでにNIS2向けに構築している場合

1. 適用される制度を確認してください。 グループ内の各事業体について確認します。金融機関はDORAに従い、その他のグループ会社はNIS2のもとにとどまる場合があります。
2. 中核部分を再利用してください。 リスク評価、資産台帳、アクセス制御、ログ取得、インシデント対応、継続計画は引き継げます。ただし、見直し頻度はDORAに合わせて調整してください（例：ICTリスク管理フレームワークは少なくとも年1回見直す必要があります）。
3. 第三者に関する層を構築してください。 情報登録簿の作成を早期に開始し、契約テンプレートをArticle 30に照らして見直してください。通常、これが最も大きな新規作業になります。
4. テストを計画してください。 所管当局からTLPTの対象に選ばれていない場合でも、Article 24はテストプログラムを求めており、重大または重要な機能を支えるシステムについて毎年テストを実施する必要があります。
5. 報告手順を分割してください。 グループ内で両制度が適用される場合です。

要点

• NIS2の作業でDORAの主題の大部分をカバーできます。ギャップ分析では、要件ごとに示しています。
• DORA特有の作業は第三者リスクです。登録簿、契約条件、集中リスク、出口戦略が含まれます。
• 脅威ベースの侵入テストとDORAのインシデント分類には、NIS2に相当するものはありません。

次に読むページ

DORAフレームワークのページでは、当サイトがマッピングしているすべての条文を公式テキストとともに一覧できます。NIS2とDORAの比較では両方向を詳しく示しており、NIS2ガイドではNIS2側を扱っています。

よくある質問

金融機関はDORAとNIS2の両方に準拠しなければなりませんか？

対象となる金融機関は、ICTリスク管理およびインシデント報告についてDORAに従います。NIS2は、少なくとも同等の要件を定める分野固有のEU法令を優先させることができ、金融分野ではDORAがその法令にあたります。非金融の事業体を含むグループや、銀行にサービスを提供するICTプロバイダーは、それでも両方を満たすことができます。

DORAとNIS2の間に公式の対応関係はありますか？

両者を結ぶ公表された対応表はありません。ControlMappingのリンクは編集によるものです。DORAを段落および号レベルで、NIS2の実施規則と同じセキュリティトピックにマッピングしており、各リンクにはその理由を示しています。

DORAがNIS2にはない何を要求していますか？

主に、すべてのICTサービス契約に関する情報登録簿、必須契約条件の詳細なリスト、ICT集中リスクの評価、出口戦略、そして所管当局が選定した事業体に対する、少なくとも3年ごとの脅威ベースの侵入テストです。