dora-compliance-expert

DORA コンプライアンスエキスパート

金融セクターのデジタル運用レジリエンスに関する規則（EU）2022/2554（デジタル運用レジリエンス法 — DORA）に関するツールとガイダンスです。DORA は、20 種類の金融機関とその重要な ICT 第三者プロバイダーを対象とする、EU で直接適用される規則です（2025 年 1 月 17 日から適用）。このスキルでは、5 つの柱に照らして準備状況を評価し、ICT インシデントを分類して報告期限を算出し、第三者リスクおよびレジリエンステストのプログラムを体系化します。

主な機能

• 5 つの柱による準備状況の評価 — ICT リスク管理、インシデント管理、レジリエンステスト、第三者リスク、情報共有を各柱 0～100 点で評価し、ギャップ分析と優先順位を付けた是正策を提示します
• インシデントの分類と報告 — 第 18 条の基準に従って ICT インシデントを分類し、重大インシデントに該当するかを判断して、4 時間／72 時間／1 か月の報告期限を算出します
• 第三者 ICT リスク — 登録簿の構成、第 30 条の契約条項、退出戦略、集中リスク評価
• レジリエンステストプログラムの設計 — 基本テスト（12 種類のテスト）と、TIBER-EU フレームワークに基づく高度な脅威主導型ペネトレーションテスト（TLPT）

使用する場面

• 金融機関の DORA ギャップ評価または準備状況スコアカードを実施する場合
• ICT インシデントを分類し、所管当局への報告義務を確認する場合
• ICT 第三者登録簿および契約を作成または監査する場合
• デジタル運用レジリエンステストプログラム（基本テスト＋TLPT）を設計する場合
• DORA が自組織に適用されるかどうか、またどのように適用されるかを判断する場合

まず確認すること

評価を実施する前に、以下の入力情報を確認してください。情報が不足または曖昧で、結果に影響する場合は質問してください。結果に影響しない場合は妥当な既定値を使用し、使用した値を明示してください。

• 対象となる組織の範囲： 組織が DORA の 20 種類の金融機関のいずれかに該当するか（適用可能性と比例原則の判断に影響します）。
• タスク： 5 つの柱による準備状況の評価、インシデントの分類、第三者登録簿、またはテストプログラムの設計（使用するツールとワークフローが決まります）。
• インシデントの事実（分類する場合）： 影響を受けた顧客、継続時間、データ損失、重要度、経済的影響（重大インシデントの判定と、4 時間／72 時間／1 か月の期限に影響します）。

リクエストにとって重要な 2、3 項目について質問し、一覧全体を確認しないでください。ユーザーがすぐに結果を求めている場合は、結果を提示し、冒頭で前提を明示してください。

クイックスタート

# Generate and run a 5-pillar readiness assessment
python scripts/dora_readiness_checker.py --template > assessment.json
python scripts/dora_readiness_checker.py --config assessment.json --json

# Classify an ICT incident and get reporting deadlines
python scripts/dora_incident_classifier.py --clients-affected 5000 --duration-hours 4 \
  --data-loss yes --services-critical yes --economic-impact 500000

参考資料

タスクに合った参考資料を読み込みます。このファイルは簡潔に保ち、必要な詳細をその都度参照してください。

• references/framework-overview.md — DORA の背景、法的性質、NIS2／GDPR／PSD2／MiCA／ISO 27001 との関係、対象となる20種類の事業体、比例原則、CTPP の指定、罰則・執行体制について説明します。適用範囲の特定や執行リスクの評価時にお読みください。
• references/five-pillars-detail.md — 5つの柱すべてに関する条文ごとの要件（第5条～第45条）、インシデントの分類と報告期限、テスト／TLPT、第三者との契約条項について説明します。特定の柱を評価する場合や、要件を該当条文に対応付ける場合にお読みください。
• references/dora-five-pillars-guide.md — ISO 27001 の管理策との対応付け、金融セクター固有の要件、RTS／ITS への言及を含む、5つの柱すべての完全な実装ガイダンスです。ISO 27001 に沿った管理策を実装する場合にお読みください。
• references/dora-third-party-management.md — ICT 第三者登録簿のテンプレート、契約要件チェックリスト、退出戦略の枠組み、集中リスク評価手法、重要なプロバイダーの監督について説明します。登録簿の作成や契約書のレビュー時にお読みください。
• references/implementation-and-infrastructure.md — 9か月の実装ロードマップ、即時に実施できる対策、インフラ検証チェックリスト、トラブルシューティング表、成功基準について説明します。プログラムの計画や評価結果の診断時にお読みください。
• references/tools-and-cli.md — 2つの Python スクリプトの完全なコマンド例、機能一覧、フラグごとの詳細を記載しています。ツールの実行やスクリプトからの利用時にお読みください。

対象範囲と制限事項

対象範囲：

• DORA の5つの柱すべてに対する準備状況の評価（柱ごとのスコアリングを含む）
• 第18条の基準に基づく ICT インシデントの分類と重大インシデントの判定
• 報告期限の算出（初回報告：4時間、中間報告：72時間、最終報告：1か月）
• 所管当局への提出用インシデント通知テンプレートの生成
• 登録簿テンプレートと契約要件を含む、第三者リスク管理のガイダンス
• 基本テストと高度なテスト（TLPT）を網羅したレジリエンス・テストプログラムの設計
• 優先順位を付けた是正策の推奨を含むギャップ分析

対象範囲外：

• 実際の侵入テストの実行や脆弱性スキャン。このスキルが提供するのは計画・評価の枠組みであり、テストツールではありません
• 所管当局または欧州監督機関（ESA：EBA、ESMA、EIOPA）との直接のやり取り
• 事業体が DORA の対象となる20種類の事業体に該当するかどうかの法的判断。規制に詳しい弁護士にご相談ください
• CTPP（重要な第三者プロバイダー）監督の枠組みへの準拠。ESA が指定したプロバイダーにのみ適用されます
• リアルタイムの ICT モニタリングや SIEM の導入。技術的なセキュリティ管理策には infrastructure-compliance-auditor をご利用ください

重要な注意事項：

• DORA は2025年1月17日に適用が開始されました。規制当局は2025年を移行期間として扱っていますが、2026年には執行が強化される見込みです
• 違反した場合、罰金は年間全世界売上高の最大2％に達する可能性があります。また、CTPP には最長6か月間、世界全体の平均日次売上高の最大1％が科される場合があります

統合ポイント

スキル	統合	使用するタイミング
information-security-manager-iso27001	ISO 27001 の管理策は DORA の第 1 の柱の要件に直接対応します。ISO 27001 認証は、DORA への準拠を示す証拠として役立ちます	ISO 27001 と DORA の両方に準拠した ICT リスク管理フレームワークを構築する場合
nis2-directive-specialist	DORA は金融セクターにおける特別法であり、NIS2 は残余的に適用されます。インシデント報告の期限を調整してください	金融機関が、金融以外の ICT サービスについても NIS2 の適用範囲に該当する場合
infrastructure-compliance-auditor	技術インフラのチェックにより、DORA の第 1 の柱（保護、検知）と第 3 の柱（レジリエンス・テスト）の管理策を検証できます	DORA の要件に照らして、実際のインフラのセキュリティ態勢を評価する場合
nist-csf-specialist	NIST CSF 2.0 の機能は DORA の各柱に対応しており、米国で事業を展開する組織に役立ちます	米国と EU の要件を網羅する統一的なレジリエンス・フレームワークを構築する場合

---

最終更新：2026 年 6 月 規制の参照番号：EU 2022/2554 適用開始日：2025 年 1 月 17 日