DORA (Regulation (EU) 2022/2554)
概要
金融セクターにおけるデジタル運用レジリエンスを定めるEU規則で、2025年1月17日から全加盟国に直接適用されています。その柱は、ICTリスク管理（第5条から第16条）、ICT関連インシデントの管理と報告（第17条から第23条）、デジタル運用レジリエンステスト（第24条から第27条）、ICTサードパーティリスク（第28条から第44条）、情報共有（第45条）です。ICTリスク管理フレームワークに関する委任規則（EU）2024/1774などの規制技術基準（RTS）が、詳細な内容を補完しています。
対象となる読者
対象となるEUの金融事業者は約20類型で、信用機関、決済機関および電子マネー機関、投資会社、暗号資産サービス提供者、保険会社および再保険会社などを含みます。欧州監督機関（ESAs）は、重要ICTサードパーティサービス提供者を直接監督する権限も持ちます。金融事業者に関しては、DORAの規定がNIS2の対応する措置より優先されます。
評価方法
認証制度はありません。各国の所管当局、および重要な銀行についてはECBが、遵守状況を監督します。重大なICT関連インシデントは段階的に報告されます（初期通知、中間報告、最終報告）。報告期限は技術基準で定められています。当局から指定された事業者は、少なくとも3年ごとに脅威ベースのペネトレーションテスト（TLPT）を実施しなければなりません。
件数：金融機関に義務を課す条文（5–14、16–19、24–30、45条）を段落単位でマッピング。
ここでいうDORAとは、金融機関に義務を課す条文を指し、段落単位で編集上マッピングしています。Delegated Regulation (EU) 2024/1774など、詳細を補う技術標準はマッピングしていないため、それらがカバーする技術トピックにはリンクが表示されません。
要件
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
| ID | 要件 | トピック | マッピング先: |
|---|---|---|---|
| Chapter II: ICT risk management · 11 | |||
| Art.5 | Governance and organisation | リスクマネジメント, ガバナンスポリシー, 役割と責任, コンプライアンス, 意識向上とトレーニング | 13 件中 10 件 |
| Art.6 | ICT risk management framework | リスクマネジメント, 物理的セキュリティ, 役割と責任, ガバナンスポリシー, コンプライアンス | 13 件中 10 件 |
| Art.7 | ICT systems, protocols and tools | — | なし |
| Art.8 | Identification | 資産管理, 事業環境, データ分類, リスクアセスメント, 脆弱性管理, 脅威インテリジェンス | 13 件中 13 件 |
| Art.9 | Protection and prevention | 継続的モニタリング, データ保護, 暗号化, ガバナンスポリシー, ファイアウォール / ネットワークセグメンテーション, アクセス制御, 特権アクセス, 物理的セキュリティ, 多要素認証, パッチ管理 | 13 件中 10 件 |
| Art.10 | Detection | 侵入検知, 異常検知, SIEM / SOC, 継続的モニタリング, ログ記録と監査, 内部脅威 | 13 件中 10 件 |
| Art.11 | Response and recovery | 事業継続, インシデント対応, 緩和策, 連絡と復旧, 復旧計画, 事業環境, ディザスタリカバリ | 13 件中 8 件 |
| Art.12 | Backup policies and procedures, restoration and recovery procedures and methods | バックアップと復旧, ディザスタリカバリ, 復旧計画 | 13 件中 11 件 |
| Art.13 | Learning and evolving | 脅威インテリジェンス, フォレンジック, 教訓の反映, 意識向上とトレーニング | 13 件中 6 件 |
| Art.14 | Communication | コミュニケーション | 13 件中 8 件 |
| Art.16 | Simplified ICT risk management framework | リスクマネジメント | 13 件中 10 件 |
| Chapter III: ICT-related incidents · 3 | |||
| Art.17 | ICT-related incident management process | インシデント対応, フォレンジック, コミュニケーション, 緩和策 | 13 件中 12 件 |
| Art.18 | Classification of ICT-related incidents and cyber threats | インシデント対応, 報告 | 13 件中 12 件 |
| Art.19 | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | 報告 | 13 件中 12 件 |
| Chapter IV: Resilience testing · 4 | |||
| Art.24 | General requirements for the performance of digital operational resilience testing | リスクマネジメント | 13 件中 10 件 |
| Art.25 | Testing of ICT tools and systems | 脆弱性管理 | 13 件中 13 件 |
| Art.26 | Advanced testing of ICT tools, systems and processes based on TLPT | 脆弱性管理 | 13 件中 13 件 |
| Art.27 | Requirements for testers for the carrying out of TLPT | 脆弱性管理 | 13 件中 13 件 |
| Chapter V: ICT third-party risk · 3 | |||
| Art.28 | General principles | サプライチェーンリスク, ベンダーリスク管理, クラウドセキュリティ | 13 件中 9 件 |
| Art.29 | Preliminary assessment of ICT concentration risk at entity level | サプライチェーンリスク | 13 件中 9 件 |
| Art.30 | Key contractual provisions | クラウドセキュリティ, ベンダーリスク管理 | 13 件中 12 件 |
| Chapter VI: Information sharing · 1 | |||
| Art.45 | Information-sharing arrangements on cyber threat information and intelligence | 脅威インテリジェンス | 13 件中 6 件 |
トピックのカバレッジ
DORAのマッピング済み要件を持つトピック（39件）:
当サイトのデータにはマッピングがありません DORA の要件なし（11）: