金融ICT規制DORAが動き出す — EU19社指定で顕在化したクラウド依存の構造

背景

出発点となった状況

欧州連合（EU）の金融セクターは、銀行の勘定系システムから証券取引の清算、保険契約の管理に至るまで、業務基盤の相当部分をクラウドサービスや外部ITベンダーに依存する構造へと移行してきた。欧州中央銀行（ECB）の銀行監督部門は、この依存が単なる効率化にとどまらず、少数の大手プロバイダーへの機能集中という新たなシステミックリスクを生み出していると指摘してきた [4]。2020年前後に相次いだクラウド障害や大規模サイバー攻撃は、一つのITベンダーの停止が複数の金融機関に同時に波及しうることを露呈させ、EUの規制当局に個別金融機関単位の監督だけでは不十分だという認識を広げた。

こうした背景のもとで制定されたのが、デジタル・オペレーショナル・レジリエンス法（DORA）である。DORAは2023年1月16日に発効し、銀行・保険会社・投資会社・暗号資産サービス提供者を含む21種類の金融事業体を対象に、ICTリスク管理・インシデント報告・レジリエンステスト・第三者リスク管理・情報共有という5つの柱からなる統一ルールを課す規制として設計された [1]。

構造的な前提

DORAの特徴は、規制対象を金融機関そのものだけでなく、金融機関にサービスを提供するICT第三者事業者（クラウドベンダー、データセンター運営者、通信事業者など）にまで広げた点にある。欧州の銀行監督データによれば、大手銀行のアウトソーシング予算の3割超がわずか10社程度のプロバイダーに集中しているとされ、この集中構造こそがDORAが是正を狙う核心的な論点である [4]。金融機関単体がどれほど堅牢なリスク管理体制を敷いても、その基盤となるクラウド事業者自体が単一障害点になっていれば、業界横断的な障害の芽は残る。DORAはこの構造的な脆弱性に対し、金融機関への規律付けと、重要ICT事業者への直接監督という二段構えの制度設計で応じた。

従来のEU金融規制は、自己資本比率や流動性比率のように、各金融機関のバランスシートを個別に検証する発想を土台としてきた。しかしICTインフラの障害は、資本の多寡とは無関係に、業界横断で同時多発する性質を持つ。ある銀行の自己資本が十分であっても、決済処理を担うクラウド基盤が停止すれば、その銀行の顧客は取引を実行できなくなる。DORAが個別金融機関の健全性規制の枠組みを離れ、金融機関群が共有する外部インフラそのものを監督対象に組み込んだ背景には、この種のリスクが伝統的な資本規制の射程外にあるという認識がある。

2025年1月: 第1局面

DORAは発効から2年の準備期間を経て、2025年1月17日に適用開始（application date）を迎えた。この日以降、EU域内で活動する銀行・保険会社・投資会社・決済機関・暗号資産サービス提供者など約2万社規模の金融事業体が、ICTリスク管理の枠組み整備、重大インシデントの当局への報告体制、定期的なレジリエンステストの実施を義務付けられることになった [1]。適用開始と同時に、金融機関は自社が契約するICT第三者事業者との契約関係を一覧化した「登録簿（Register of Information）」の整備にも着手した。この登録簿は、どの事業者がどの金融機能を支えているかを当局が横断的に把握するための基礎資料となるもので、欧州の主要な監督助言機関の試算では、対応コストの多くが2〜5百万ユーロのレンジに達すると見込まれた。制度開始当初の時点で、年内の完全準拠を見込んでいた金融機関は半数程度にとどまり、残りは2026年にずれ込む見通しを示していたとされる。

この段階でDORAが直接適用されたのはEU域内の金融事業体だが、非EU系の金融グループのEU現地法人や、EU金融機関と契約する非EU拠点のICT事業者にも間接的な影響が及ぶ設計になっている点は見逃せない。EU金融機関がクラウドサービスなどを非EU事業者から調達している場合でも、規制遵守の一次的な責任は当該EU金融機関側に残るため、契約条項の見直しが業界横断で進んだ。

2025年4月〜11月: 第2局面

適用開始後、欧州の3つの監督当局（欧州銀行監督機構＝EBA、欧州証券市場監督機構＝ESMA、欧州保険・年金監督機構＝EIOPA、総称してESAs）は、金融機関が提出した登録簿データをもとに、どのICT第三者事業者が「重要（critical）」に該当するかを判定する作業に入った。判定基準は、当該事業者が機能停止した場合の波及規模、依存する金融機関の数と重要度、市場の集中度、代替可能な事業者の有無といった要素から構成される [2]。

この選定プロセスを経て、2025年11月18日、ESAsは初となる重要ICT第三者事業者（CTPP）リストを公表した。指定されたのは19社で、アマゾン・ウェブ・サービス（AWS）欧州法人、グーグル・クラウドEMEA、マイクロソフト・アイルランド・オペレーションズ、オラクル・ネーデルランド、SAP、ドイツテレコムといったクラウド・通信大手に加え、アクセンチュア、キャップジェミニ、IBM、コルト・テクノロジー・サービシズ、エクイニクスEMEA、フィデリティ・ナショナル・インフォメーション・サービシズ（FIS）、インターション本社、キンドリル、LSEGデータ・アンド・リスク、NTTデータ、オランジュ、タタ・コンサルタンシー・サービシズ、そしてブルームバーグが名を連ねた [2]。この19社は今後、EBA・ESMA・EIOPAのいずれかが務める「リード監視当局（Lead Overseer）」による直接監督の対象となる [3]。

重要ICT事業者の指定は、単なる企業リストの公表にとどまらない意味を持つ。指定された事業者は、年次のリスク評価、包括的な報告義務、現地査察への協力を課され、監督コストを賄うための監視手数料を負担する立場に置かれる [3]。EUにとっては、これまで契約関係の外側にあった巨大テック企業を、金融監督の枠組みの内側に初めて正式に組み込む転換点となった。

2025年11月〜2026年: 第3局面

CTPP指定を受け、監督の重心は「制度設計」から「運用の検証」へと移った。ESMAが運営する監視の枠組みでは、リード監視当局が各ESAおよび加盟国監督当局の職員からなる共同審査チーム（Joint Examination Team）を編成し、指定・リスク評価・監視計画の策定・監視検査の実施・是正勧告のフォローアップという一連の手順で対象事業者を検証する体制が稼働し始めた [3]。

同じ2025年11月18日、ECBの銀行監督部門は2026〜2028年の中期監督優先事項を公表した。従来3本柱だった優先事項を5年ぶりに2本へ絞り込み、地政学的リスク・マクロ金融の不確実性への耐性強化と並んで、業務の運用レジリエンスとICT能力の強化を最優先課題の一つに据えた [5]。これに先立つ2025年7月16日には、ECBが銀行によるクラウドサービス調達に関する監督指針を確定させており、クラウド事業者への機能集中リスクを定期的に評価することを「グッドプラクティス」として明示していた [4]。ECBの評価では、当時の銀行セクターは自己資本・流動性・収益性のいずれも底堅く推移していたが、それだけに、財務指標には表れにくいICT依存という論点が監督の焦点として浮上した形になる。

2026年に入り、監督当局は文書上の体制整備が実際の運用に落とし込まれているかどうかの検証に力点を移している。金融安定理事会（FSB）が2025年10月に公表した報告書も、生成AIの普及に伴いクラウド基盤・専用ハードウェア・学習済みモデルへの依存が一段と少数の事業者に集中し、単一事業者の障害が金融システム全体に波及しうるリスクが強まっていると警告しており、DORAが対象とする論点はAI活用の拡大とともにむしろ重みを増している [6]。

直近の動き

2026年に入ってからの焦点は、CTPP19社に対する初回の監視検査サイクルと、金融機関側の登録簿更新作業の定着度である。CTPPリストは年1回更新される設計になっており、ESAsは今後、指定基準に該当する新たな事業者が追加されるかどうかを継続的に点検する方針を示している [3]。ECBの監督部門も、2026〜2028年サイクルの中で、金融機関が単発の自己点検にとどまらず、クラウド集中リスクの評価を定期的な業務プロセスとして組み込んでいるかを重点的に確認する構えだ [5]。指定された事業者側も対応を進めており、対象となったクラウド事業者は自社サイトで規制対応状況を説明する動きを見せている。金融機関の実務では、契約に組み込む監査権限やインシデント通知条項の見直し、複数事業者へのワークロード分散といった対応が引き続き課題として残っている。

制度導入初期に指摘されていた実務上の課題も、2026年に入ってなお解消しきれていない部分がある。多くの金融機関は、ICT第三者との契約情報が調達部門・事業部門・子会社間に分散して管理されており、登録簿を整備する段階で自社の依存関係を一元的に把握できていなかったことが明らかになった。この経験は、DORAが単なる書面上のコンプライアンス対応にとどまらず、金融機関の内部ガバナンス自体の見直しを迫る規制であることを示している。

今後の展望

DORAの制度運用が本格化する中で、いくつかの論点が今後1〜2年の焦点になるとみられる。第一に、CTPP19社の顔ぶれが示す通り、EU金融セクターが依存する主要クラウド事業者の大半は米国系である。EUが自ら「デジタル主権」を掲げてクラウド基盤の域内育成を模索する動きと、DORAによる集中リスク監視の強化は、方向性としては連動しているものの、実際に依存構造を短期間で組み替えられるかは別の課題として残る。第二に、監視手数料や査察対応のコストが指定事業者から金融機関側の調達コストに転嫁される可能性があり、特に中堅・中小の金融機関にとってはクラウド利用のハードルが上がる可能性がある。第三に、EU域外の金融機関やICT事業者への波及も継続的な論点である。EU金融機関と契約する非EU拠点の事業者は、直接の規制対象でなくとも契約条項を通じた間接的な対応を迫られる構図が続く見通しだ。

Newscoda の見方

Newscoda としては、DORAの意義を単なる「EUのサイバー規制強化」としてではなく、金融システムの安定性をめぐる監督の対象が「個別金融機関」から「金融機関が依存するICTインフラそのもの」へと拡張された制度的転換として捉えるべきだと考える。2025年1月の適用開始から2025年11月の19社指定、2026年の直接監視稼働という経緯は、規制が理念から実装へと段階的に移行してきた典型例であり、他分野の規制設計にも参照されうる。

他の論点との違いとして強調したいのは、この規制が突きつけているのが「規制の是非」ではなく「代替可能性の乏しさ」という構造問題である点だ。指定された19社の顔ぶれを見る限り、短期間でクラウド依存そのものを解消する選択肢は乏しく、監督の実効性はリード監視当局とCTPP側の協力関係の質に左右される部分が大きい。

今後6〜12か月で観察すべき変数は以下の通りである。

• CTPP19社に対する初回の現地査察・共同審査チームによる検証で、具体的な是正勧告や制裁事例が生じるか
• 2026年内に予定されるCTPPリストの年次更新で、対象事業者が追加・除外されるか
• 金融機関側の監視手数料・調達コスト転嫁が、クラウド利用戦略や中堅金融機関の投資判断にどう影響するか
• EUの「デジタル主権」政策と、実際のクラウド依存構造の是正がどの程度歩調を合わせるか

まとめ

DORAは2023年1月の発効を起点に、2025年1月の適用開始、同年11月の重要ICT第三者事業者19社の指定を経て、2026年に直接監視の段階へと進んだ。この過程は、EUの金融規制が「金融機関の自己管理」から「金融機関が依存する基盤事業者への直接監督」へと射程を広げてきた歩みそのものであり、クラウド集中というデジタル時代特有のリスクに対する制度的な回答の一つといえる。指定19社の大半を米国系クラウド・IT大手が占める構図は、規制の実効性と依存構造の是正可能性という、なお解決されていない論点を映し出している。金融機関・監督当局・ICT事業者それぞれの対応が今後どのように収斂していくかが、この制度の実質的な成否を左右することになる。

なお、EUの銀行資本規制をめぐる制度移行についてはバーゼルIIIエンドゲームと欧州銀行の資本戦略、クラウド依存とデータ主権の経済的コストについてはクラウド主権とデータローカライゼーションを分析した記事、巨大テック企業に対するEUの規制的アプローチ全般についてはEUデジタル市場法（DMA）の実効性を検証した記事もあわせて参照されたい。