「デジタル・オペレーショナル・レジリエンス法（DORA）」は、欧州連合（EU）の金融セクターのオペレーショナル・レジリエンスを強化することを目的とした、欧州委員会による立法案である。 この規制案は、金融セクターにおける情報通信技術（ICT）システムやデジタル業務プロセスへの依存度の高まりに対処することを目的としている。DORAは、銀行、保険会社、投資会社などの金融機関を対象に、ICTリスク管理、インシデント報告、および外部委託に関する枠組みを定めている。
DORAは、ICTリスクの管理、デジタル業務レジリエンス戦略の策定および承認、ならびにICT第三者プロバイダー（TPP）の利用に関する社内方針の検討および承認などについて、「全面的かつ最終的な責任」を負うのは企業の経営陣であるとしています。
DORA案は2022年12月に公表され、2023年1月に施行されました。 各組織は、2025年1月からDORAへの準拠を開始しなければなりません。DORAは、EU内で事業を行う金融サービス（FS）企業の大部分に適用されます。DORAはEUの規制ですが、組織がEU域外に所在する場合でも、EU内に事業所を有しているか、EU内でサービスを提供する金融機関にサービスを提供している場合は、適用対象とみなされます。
DORAの下で、企業にはどのようなことが求められているのでしょうか？
- 主要業績評価指標（KPI）およびリスク指標に基づき、ICT障害に対するリスク許容度を設定する。
- それらの「重要または不可欠な機能」を特定する。
- 「深刻な事業中断」のシナリオに基づいて、事業影響度分析を実施する。
- 新しい分類、通知、報告の枠組みを活用し、ICTインシデントや脅威に関する情報を収集、分析、エスカレーション、および共有してください。
- インシデントの影響を定量化し、その根本原因を分析する。
- 重大なサイバー脅威が発生した場合は、規制当局に通知するとともに、その脅威に対抗するために講じた適切な保護措置に関する情報を提供すること。
- 「重要なICTシステムおよびアプリケーション」に対して、適切な一連のデジタル運用レジリエンスおよびセキュリティテストを実施していることを実証すること。テストによって特定された脆弱性については、「完全に是正」すること。
- 一定の閾値を超える場合は、3年ごとに「高度な」脅威主導型侵入テスト（TLPT）を実施し、CIFを支援するすべてのTPPを、この高度なテスト演習に含めること。
- 上記の条項をすべて、第三者プロバイダーとの契約に盛り込んでください。
- CIFの提供を支えるすべてのアウトソーシング契約について、集中リスク評価を実施する。
企業は、DORAの新たな要件に沿って、2025年1月までに強化された業務レジリエンス・フレームワークを策定・導入するためのロードマップを作成するため、ギャップ分析を実施すべきです。このガイダンスの実施に関するサポートについては、「Archer Operational Resilience」をご覧ください。
アーチャーの専門家にご相談をご希望の場合は、弊社までご連絡ください。
