Digital Operational Resilience Act

Identity

• EIOPAのDORAページによると、DORA（Regulation (EU) 2022/2554）は2022年12月14日付の規則で、2025年1月17日に適用が開始された。同ページは、サイバー攻撃やシステム障害などのICT障害に金融機関が耐え、対応し、復旧できるようにすることを主眼とし、20種類の金融機関およびICT第三者サービス提供者に適用されると説明している（2026年10月確認）。検証待ち Digital Operational Resilience Act (DORA)
• ENISAの2025年1月17日付ニュースは、DORAが同日からEU全域のすべての金融機関に対して拘束力を持つと述べ、2023年1月16日に発効したと記している。ENISAは2024年6月にESAsと覚書（MoU）を締結しており、水平的なNIS2指令と分野特化のDORAの間で調和のとれたアプローチに向け、引き続きESAsと協力するとしている。検証待ち EU financial entities cybersecurity upgrade: DORA is now alive and kicking

Capability

• EIOPAのDORAページによると、DORA（Regulation (EU) 2022/2554）は2022年12月14日付の規則で、2025年1月17日に適用が開始された。同ページは、サイバー攻撃やシステム障害などのICT障害に金融機関が耐え、対応し、復旧できるようにすることを主眼とし、20種類の金融機関およびICT第三者サービス提供者に適用されると説明している（2026年10月確認）。検証待ち Digital Operational Resilience Act (DORA)
• アイルランド中央銀行のページは、DORAが2022年12月27日に欧州連合官報で公表され、2025年1月17日から適用されていると説明している。同ページは、DORAが導入する規則の対象分野として、ICTリスク管理、ICT関連インシデントの管理・分類・報告、デジタルオペレーショナル・レジリエンスのテスト、重要ICT第三者サービス提供者の監督枠組みを含むICT第三者リスク管理、情報共有の取り決めを挙げ、同中央銀行が規制する幅広い金融機関に適用されるとしている（2026年10月確認）。検証待ち Digital Operational Resilience Act (DORA)
• EBAのDORAページによると、EBA・EIOPA・ESMAの3つの欧州監督当局（ESAs）は、重要ICT第三者サービス提供者（CTPP）に対してLead Overseer（主任監督者）の役割を担い、EU全域の規模でCTPPを監視する。同ページは、Lead Overseerが情報提供の要求、オフサイト調査・オンサイト検査、罰則の賦課、勧告の発出を行えると記し、この監督枠組みがENISAとの協力の恩恵を受けるとしている（2026年10月確認）。検証待ち Digital Operational Resilience Act

Credibility

• 欧州監督当局（EBA・EIOPA・ESMA）は2025年11月18日、DORAに基づく重要ICT第三者サービス提供者（CTPP）の指定リストを公表した。ESMAの発表によれば、指定は、金融機関のICTサービス契約に関する情報レジスターの収集、各国当局と行うDORA所定の基準（システム上の重要性、重要または必須機能の支援における役割、代替可能性）による重要度評価、指定対象への通知と理由書提出機会の付与、という3段階で行われた。検証待ち The European Supervisory Authorities designate critical ICT third-party providers under the Digital Operational Resilience Act
• 法律事務所Morgan Lewisは2025年11月18日付のブログ記事で、ESAsが19の重要ICT第三者サービス提供者（CTPP）のリストを公表したと報じた。同記事は、指定された提供者がESAsの直接監督の対象となること、ESAsが提供者の不遵守を公表し得ること、リストがESAsにより年次で更新・公表される予定であることを記している。ESMAの発表ページ自体は提供者数を記載していない。検証待ち DORA: EU Regulators Announce List of Critical ICT Third-Party Providers

Use Case

• アイルランド中央銀行のページは、DORAが2022年12月27日に欧州連合官報で公表され、2025年1月17日から適用されていると説明している。同ページは、DORAが導入する規則の対象分野として、ICTリスク管理、ICT関連インシデントの管理・分類・報告、デジタルオペレーショナル・レジリエンスのテスト、重要ICT第三者サービス提供者の監督枠組みを含むICT第三者リスク管理、情報共有の取り決めを挙げ、同中央銀行が規制する幅広い金融機関に適用されるとしている（2026年10月確認）。検証待ち Digital Operational Resilience Act (DORA)

Constraints / Current Status

• EBAのDORAページによると、EBA・EIOPA・ESMAの3つの欧州監督当局（ESAs）は、重要ICT第三者サービス提供者（CTPP）に対してLead Overseer（主任監督者）の役割を担い、EU全域の規模でCTPPを監視する。同ページは、Lead Overseerが情報提供の要求、オフサイト調査・オンサイト検査、罰則の賦課、勧告の発出を行えると記し、この監督枠組みがENISAとの協力の恩恵を受けるとしている（2026年10月確認）。検証待ち Digital Operational Resilience Act
• 欧州監督当局（EBA・EIOPA・ESMA）は2025年11月18日、DORAに基づく重要ICT第三者サービス提供者（CTPP）の指定リストを公表した。ESMAの発表によれば、指定は、金融機関のICTサービス契約に関する情報レジスターの収集、各国当局と行うDORA所定の基準（システム上の重要性、重要または必須機能の支援における役割、代替可能性）による重要度評価、指定対象への通知と理由書提出機会の付与、という3段階で行われた。検証待ち The European Supervisory Authorities designate critical ICT third-party providers under the Digital Operational Resilience Act
• ENISAの2025年1月17日付ニュースは、DORAが同日からEU全域のすべての金融機関に対して拘束力を持つと述べ、2023年1月16日に発効したと記している。ENISAは2024年6月にESAsと覚書（MoU）を締結しており、水平的なNIS2指令と分野特化のDORAの間で調和のとれたアプローチに向け、引き続きESAsと協力するとしている。検証待ち EU financial entities cybersecurity upgrade: DORA is now alive and kicking

Key References

• DORAが金融機関のICTレジリエンス対応で重視されるのはなぜですか？
• DORAの重要ICT第三者サービス提供者の指定について、どのような公的情報源で確認できますか？
• デジタルオペレーショナル・レジリエンス法（DORA）とは何ですか？

Related

• NIS2 Directive— ENISAの2025年1月17日付ニュースは、水平的なNIS2指令と分野特化のDORAの間で調和のとれたアプローチに向け、ESAsと協力する方針を述べている。
• ENISA— ENISAは2024年6月にEBA・EIOPA・ESMAと覚書を締結しており、EBAのDORAページはDORAの重要ICT第三者サービス提供者の監督枠組みがENISAとの協力の恩恵を受けると記している（2026年10月確認）。