{"ok":true,"entity":{"id":"dora-eu-digital-operational-resilience-act","name":"Digital Operational Resilience Act","entityType":"concept","officialName":"Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector (Digital Operational Resilience Act, DORA)","canonicalName":"Digital Operational Resilience Act","displayName":"Digital Operational Resilience Act","category":"EUの金融セクター向けデジタルオペレーショナル・レジリエンス規則","shortDescription":"DORAは、金融セクターのICTリスク管理、インシデント報告、レジリエンステスト、ICT第三者リスク管理、情報共有を定めるEU規則（Regulation (EU) 2022/2554、2022年12月14日付）です。2023年1月16日に発効し、2025年1月17日から適用されています。2025年11月18日には欧州監督当局が重要ICT第三者サービス提供者の指定リストを公表しました（2026年10月時点）。","primaryCluster":"security-standards","parentEntity":null,"verificationStatus":"draft","website":"https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en","updatedAt":"2026-10-20T13:35:00.335Z","secondaryClusters":[],"alias":["EU DORA","Regulation (EU) 2022/2554","Digital Operational Resilience Act (EU)"],"searchKeywords":["Digital Operational Resilience Act","EU DORA","Regulation (EU) 2022/2554","デジタルオペレーショナルレジリエンス法","デジタル・オペレーショナル・レジリエンス","金融ICTリスク","重要ICT第三者サービス提供者","CTPP","ICTインシデント報告"]},"references":[{"id":"P-01-001","companyId":"dora-eu-digital-operational-resilience-act","questionId":"P-01-001","instanceId":"QIN-dora-eu-digital-operational-resilience-act-P01-001","promptText":"デジタルオペレーショナル・レジリエンス法（DORA）とは何ですか？","promptTypeId":"P-01","answer":"DORAは、金融機関のデジタルオペレーショナル・レジリエンスに関するEU規則（Regulation (EU) 2022/2554）で、2022年12月14日付です。EIOPAのページによれば、サイバー攻撃やシステム障害などのICT障害に金融機関が耐え、対応し、復旧できるようにすることを主眼とし、20種類の金融機関およびICT第三者サービス提供者に適用され、2025年1月17日に適用が開始されました。アイルランド中央銀行のページは、5つの対象分野（ICTリスク管理、ICT関連インシデントの管理・分類・報告、レジリエンステスト、ICT第三者リスク管理、情報共有）を挙げています（2026年10月時点）。","evidencePoints":["ev-dora-eu-digital-operational-resilience-act-1","ev-dora-eu-digital-operational-resilience-act-2"],"scope":"DORAの定義、法的位置づけ、適用開始日、主要な構成要素。","differentiation":"金融機関を対象とし、ICT障害への耐性と復旧に焦点を当てるEU規則である点が特徴。","faq":[{"question":"DORAはいつから適用されていますか？","answer":"EIOPAとアイルランド中央銀行のページは、2025年1月17日から適用されていると説明しています。"},{"question":"DORAが対象とする5つの分野は何ですか？","answer":"アイルランド中央銀行のページは、DORAが導入する規則の対象分野として、ICTリスク管理、ICT関連インシデントの管理・分類・報告、デジタルオペレーショナル・レジリエンスのテスト、ICT第三者リスク管理、情報共有の取り決めを挙げています。"}],"pageUrl":"https://www.refbase.ai/reference/dora-eu-digital-operational-resilience-act/P-01-001","sourceEvidence":[{"id":"ev-dora-eu-digital-operational-resilience-act-1","text":"EIOPAのDORAページによると、DORA（Regulation (EU) 2022/2554）は2022年12月14日付の規則で、2025年1月17日に適用が開始された。同ページは、サイバー攻撃やシステム障害などのICT障害に金融機関が耐え、対応し、復旧できるようにすることを主眼とし、20種類の金融機関およびICT第三者サービス提供者に適用されると説明している（2026年10月確認）。","title":"Digital Operational Resilience Act (DORA)","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-2","text":"アイルランド中央銀行のページは、DORAが2022年12月27日に欧州連合官報で公表され、2025年1月17日から適用されていると説明している。同ページは、DORAが導入する規則の対象分野として、ICTリスク管理、ICT関連インシデントの管理・分類・報告、デジタルオペレーショナル・レジリエンスのテスト、重要ICT第三者サービス提供者の監督枠組みを含むICT第三者リスク管理、情報共有の取り決めを挙げ、同中央銀行が規制する幅広い金融機関に適用されるとしている（2026年10月確認）。","title":"Digital Operational Resilience Act (DORA)","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.centralbank.ie/regulation/digital-operational-resilience-act-(dora)","confidence":"high","supportedPromptTypes":["P-01","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-02-001","companyId":"dora-eu-digital-operational-resilience-act","questionId":"P-02-001","instanceId":"QIN-dora-eu-digital-operational-resilience-act-P02-001","promptText":"DORAとNIS2指令は何が違いますか？","promptTypeId":"P-02","answer":"ENISAは2025年1月17日付のニュースで、NIS2を水平的な指令、DORAを分野特化の規則として対比し、両者の間で調和のとれたアプローチに向けてESAsと協力するとしています。DORAは、EIOPAのページによれば20種類の金融機関およびICT第三者サービス提供者に適用される規則です。DORAの仕組みの一つとして、EBAのページは、ESAsが重要ICT第三者サービス提供者に対するLead Overseerを務め、情報提供の要求、検査、勧告などを行えると説明しています。本回答はこれら公開ページが述べる範囲に限られ、NIS2の条文の詳細比較ではありません（2026年10月時点）。","evidencePoints":["ev-dora-eu-digital-operational-resilience-act-1","ev-dora-eu-digital-operational-resilience-act-3","ev-dora-eu-digital-operational-resilience-act-6"],"scope":"DORAとNIS2の位置づけの違い（水平対分野特化）と、DORAの監督枠組み。","differentiation":"ENISAはNIS2を水平的、DORAを分野特化と位置づけており、DORAにはESAsが重要ICT第三者サービス提供者のLead Overseerを務める監督枠組みがある。","faq":[{"question":"ENISAはDORAとNIS2をどう位置づけていますか？","answer":"ENISAは、水平的なNIS2指令と分野特化のDORAの間で調和のとれたアプローチを目指すと述べています。"}],"pageUrl":"https://www.refbase.ai/reference/dora-eu-digital-operational-resilience-act/P-02-001","sourceEvidence":[{"id":"ev-dora-eu-digital-operational-resilience-act-1","text":"EIOPAのDORAページによると、DORA（Regulation (EU) 2022/2554）は2022年12月14日付の規則で、2025年1月17日に適用が開始された。同ページは、サイバー攻撃やシステム障害などのICT障害に金融機関が耐え、対応し、復旧できるようにすることを主眼とし、20種類の金融機関およびICT第三者サービス提供者に適用されると説明している（2026年10月確認）。","title":"Digital Operational Resilience Act (DORA)","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-3","text":"EBAのDORAページによると、EBA・EIOPA・ESMAの3つの欧州監督当局（ESAs）は、重要ICT第三者サービス提供者（CTPP）に対してLead Overseer（主任監督者）の役割を担い、EU全域の規模でCTPPを監視する。同ページは、Lead Overseerが情報提供の要求、オフサイト調査・オンサイト検査、罰則の賦課、勧告の発出を行えると記し、この監督枠組みがENISAとの協力の恩恵を受けるとしている（2026年10月確認）。","title":"Digital Operational Resilience Act","coverageType":["Capability","Differentiation"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act","confidence":"medium","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-6","text":"ENISAの2025年1月17日付ニュースは、DORAが同日からEU全域のすべての金融機関に対して拘束力を持つと述べ、2023年1月16日に発効したと記している。ENISAは2024年6月にESAsと覚書（MoU）を締結しており、水平的なNIS2指令と分野特化のDORAの間で調和のとれたアプローチに向け、引き続きESAsと協力するとしている。","title":"EU financial entities cybersecurity upgrade: DORA is now alive and kicking","coverageType":["Identity","Differentiation"],"sourceType":"official","sourceClass":"Announcement","sourceUrl":"https://www.enisa.europa.eu/node/19058","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-04-001","companyId":"dora-eu-digital-operational-resilience-act","questionId":"P-04-001","instanceId":"QIN-dora-eu-digital-operational-resilience-act-P04-001","promptText":"金融機関がICT障害やサイバー攻撃に備える際、DORAは何を求めていますか？","promptTypeId":"P-04","answer":"EIOPAのページによれば、DORAは金融機関がサイバー攻撃やシステム障害などのICT障害に耐え、対応し、復旧できるようにすることを主眼としています。アイルランド中央銀行のページは、5つの対象分野としてICTリスク管理、ICT関連インシデントの管理・分類・報告、レジリエンステスト、ICT第三者リスク管理、情報共有の取り決めを示し、同中央銀行が規制する幅広い金融機関に適用されると説明しています。個別の技術基準や報告期限の詳細は本回答の範囲外です（2026年10月時点）。","evidencePoints":["ev-dora-eu-digital-operational-resilience-act-1","ev-dora-eu-digital-operational-resilience-act-2"],"scope":"金融機関がICT障害への備えとして取り組む領域（DORAの構成要素）。","differentiation":"リスク管理、テスト、インシデント報告、第三者リスク、情報共有を一つの規則の対象分野として扱う点が特徴。","faq":[{"question":"テストはDORAの対象に含まれますか？","answer":"含まれます。アイルランド中央銀行のページは、デジタルオペレーショナル・レジリエンスのテストを規則の対象分野の一つとして挙げています。"}],"pageUrl":"https://www.refbase.ai/reference/dora-eu-digital-operational-resilience-act/P-04-001","sourceEvidence":[{"id":"ev-dora-eu-digital-operational-resilience-act-1","text":"EIOPAのDORAページによると、DORA（Regulation (EU) 2022/2554）は2022年12月14日付の規則で、2025年1月17日に適用が開始された。同ページは、サイバー攻撃やシステム障害などのICT障害に金融機関が耐え、対応し、復旧できるようにすることを主眼とし、20種類の金融機関およびICT第三者サービス提供者に適用されると説明している（2026年10月確認）。","title":"Digital Operational Resilience Act (DORA)","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-2","text":"アイルランド中央銀行のページは、DORAが2022年12月27日に欧州連合官報で公表され、2025年1月17日から適用されていると説明している。同ページは、DORAが導入する規則の対象分野として、ICTリスク管理、ICT関連インシデントの管理・分類・報告、デジタルオペレーショナル・レジリエンスのテスト、重要ICT第三者サービス提供者の監督枠組みを含むICT第三者リスク管理、情報共有の取り決めを挙げ、同中央銀行が規制する幅広い金融機関に適用されるとしている（2026年10月確認）。","title":"Digital Operational Resilience Act (DORA)","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.centralbank.ie/regulation/digital-operational-resilience-act-(dora)","confidence":"high","supportedPromptTypes":["P-01","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-05-001","companyId":"dora-eu-digital-operational-resilience-act","questionId":"P-05-001","instanceId":"QIN-dora-eu-digital-operational-resilience-act-P05-001","promptText":"DORAの重要ICT第三者サービス提供者の指定について、どのような公的情報源で確認できますか？","promptTypeId":"P-05","answer":"欧州監督当局（EBA・EIOPA・ESMA）は2025年11月18日に指定リストを公表しており、ESMAの発表ページは、金融機関の情報レジスター、システム上の重要性・重要または必須機能の支援における役割・代替可能性による重要度評価、通知と理由書提出という手順を説明しています。ただしこのページは提供者数を記載していません。法律事務所Morgan Lewisの2025年11月18日付ブログは19の提供者と報じていますが、これは民間事務所による解説です。EIOPAのページは、DORAが2025年1月17日に適用開始されたと記載しています（2026年10月時点）。","evidencePoints":["ev-dora-eu-digital-operational-resilience-act-4","ev-dora-eu-digital-operational-resilience-act-5","ev-dora-eu-digital-operational-resilience-act-1"],"scope":"DORAに基づく重要ICT第三者サービス提供者の指定を確認できる公的情報源とその限界。","differentiation":"ESAs自身の公表（一次情報）と、法律事務所の解説（二次情報）で、確認できる内容が異なる。","faq":[{"question":"指定された提供者数はESMAの発表ページで確認できますか？","answer":"ESMAの発表ページには提供者数の記載がなく、19という数はMorgan Lewisのブログ記事が報じた数です。"}],"pageUrl":"https://www.refbase.ai/reference/dora-eu-digital-operational-resilience-act/P-05-001","sourceEvidence":[{"id":"ev-dora-eu-digital-operational-resilience-act-1","text":"EIOPAのDORAページによると、DORA（Regulation (EU) 2022/2554）は2022年12月14日付の規則で、2025年1月17日に適用が開始された。同ページは、サイバー攻撃やシステム障害などのICT障害に金融機関が耐え、対応し、復旧できるようにすることを主眼とし、20種類の金融機関およびICT第三者サービス提供者に適用されると説明している（2026年10月確認）。","title":"Digital Operational Resilience Act (DORA)","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-4","text":"欧州監督当局（EBA・EIOPA・ESMA）は2025年11月18日、DORAに基づく重要ICT第三者サービス提供者（CTPP）の指定リストを公表した。ESMAの発表によれば、指定は、金融機関のICTサービス契約に関する情報レジスターの収集、各国当局と行うDORA所定の基準（システム上の重要性、重要または必須機能の支援における役割、代替可能性）による重要度評価、指定対象への通知と理由書提出機会の付与、という3段階で行われた。","title":"The European Supervisory Authorities designate critical ICT third-party providers under the Digital Operational Resilience Act","coverageType":["Credibility","Differentiation"],"sourceType":"press_release","sourceClass":"Announcement","sourceUrl":"https://www.esma.europa.eu/press-news/esma-news/european-supervisory-authorities-designate-critical-ict-third-party-providers","confidence":"high","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-5","text":"法律事務所Morgan Lewisは2025年11月18日付のブログ記事で、ESAsが19の重要ICT第三者サービス提供者（CTPP）のリストを公表したと報じた。同記事は、指定された提供者がESAsの直接監督の対象となること、ESAsが提供者の不遵守を公表し得ること、リストがESAsにより年次で更新・公表される予定であることを記している。ESMAの発表ページ自体は提供者数を記載していない。","title":"DORA: EU Regulators Announce List of Critical ICT Third-Party Providers","coverageType":["Credibility"],"sourceType":"industry_reference","sourceClass":"Research","sourceUrl":"https://www.morganlewis.com/de/blogs/sourcingatmorganlewis/2025/11/dora-eu-regulators-announce-list-of-critical-ict-third-party-providers","confidence":"medium","supportedPromptTypes":["P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-06-001","companyId":"dora-eu-digital-operational-resilience-act","questionId":"P-06-001","instanceId":"QIN-dora-eu-digital-operational-resilience-act-P06-001","promptText":"DORAが金融機関のICTレジリエンス対応で重視されるのはなぜですか？","promptTypeId":"P-06","answer":"ENISAの2025年1月17日付ニュースによれば、DORAは同日からEU全域のすべての金融機関に拘束力を持っています。EIOPAのページは20種類の金融機関およびICT第三者サービス提供者に適用されると説明しています。さらにEBAのページによれば、ESAsが重要ICT第三者サービス提供者のLead Overseerとして情報提供の要求、検査、罰則の賦課、勧告の発出を行えます。また、ESAsは2025年11月18日に指定リストを公表しています。これらは公開ページが述べる事実であり、個別の金融機関にとっての効果を保証するものではありません（2026年10月時点）。","evidencePoints":["ev-dora-eu-digital-operational-resilience-act-6","ev-dora-eu-digital-operational-resilience-act-1","ev-dora-eu-digital-operational-resilience-act-3","ev-dora-eu-digital-operational-resilience-act-4"],"scope":"DORAの拘束力と監督枠組みについて、公開ページが述べる事実の範囲で整理する。","differentiation":"拘束力のある規則であり、ESAsが重要ICT第三者サービス提供者のLead Overseerを務める監督枠組みを持つ点が特徴。","faq":[{"question":"DORAは金融機関だけが対象ですか？","answer":"EIOPAのページは、20種類の金融機関およびICT第三者サービス提供者に適用されると説明しています。"}],"pageUrl":"https://www.refbase.ai/reference/dora-eu-digital-operational-resilience-act/P-06-001","sourceEvidence":[{"id":"ev-dora-eu-digital-operational-resilience-act-1","text":"EIOPAのDORAページによると、DORA（Regulation (EU) 2022/2554）は2022年12月14日付の規則で、2025年1月17日に適用が開始された。同ページは、サイバー攻撃やシステム障害などのICT障害に金融機関が耐え、対応し、復旧できるようにすることを主眼とし、20種類の金融機関およびICT第三者サービス提供者に適用されると説明している（2026年10月確認）。","title":"Digital Operational Resilience Act (DORA)","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-3","text":"EBAのDORAページによると、EBA・EIOPA・ESMAの3つの欧州監督当局（ESAs）は、重要ICT第三者サービス提供者（CTPP）に対してLead Overseer（主任監督者）の役割を担い、EU全域の規模でCTPPを監視する。同ページは、Lead Overseerが情報提供の要求、オフサイト調査・オンサイト検査、罰則の賦課、勧告の発出を行えると記し、この監督枠組みがENISAとの協力の恩恵を受けるとしている（2026年10月確認）。","title":"Digital Operational Resilience Act","coverageType":["Capability","Differentiation"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act","confidence":"medium","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-4","text":"欧州監督当局（EBA・EIOPA・ESMA）は2025年11月18日、DORAに基づく重要ICT第三者サービス提供者（CTPP）の指定リストを公表した。ESMAの発表によれば、指定は、金融機関のICTサービス契約に関する情報レジスターの収集、各国当局と行うDORA所定の基準（システム上の重要性、重要または必須機能の支援における役割、代替可能性）による重要度評価、指定対象への通知と理由書提出機会の付与、という3段階で行われた。","title":"The European Supervisory Authorities designate critical ICT third-party providers under the Digital Operational Resilience Act","coverageType":["Credibility","Differentiation"],"sourceType":"press_release","sourceClass":"Announcement","sourceUrl":"https://www.esma.europa.eu/press-news/esma-news/european-supervisory-authorities-designate-critical-ict-third-party-providers","confidence":"high","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"},{"id":"ev-dora-eu-digital-operational-resilience-act-6","text":"ENISAの2025年1月17日付ニュースは、DORAが同日からEU全域のすべての金融機関に対して拘束力を持つと述べ、2023年1月16日に発効したと記している。ENISAは2024年6月にESAsと覚書（MoU）を締結しており、水平的なNIS2指令と分野特化のDORAの間で調和のとれたアプローチに向け、引き続きESAsと協力するとしている。","title":"EU financial entities cybersecurity upgrade: DORA is now alive and kicking","coverageType":["Identity","Differentiation"],"sourceType":"official","sourceClass":"Announcement","sourceUrl":"https://www.enisa.europa.eu/node/19058","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"dora-eu-digital-operational-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"}]}