DORAはNIS2からあなたを守った。CRAからは守らない。

TL;DR. 9月11日、CRAの24時間報告義務が始まる。義務は製品に付くため、NIS2を免れさせたDORAの例外はここには届かない。

主な要点

9月11日に実際に始まるもの. CRAは2024年12月10日に段階的な適用日程とともに発効した。そして、失われるのはまさにその段階性である。.
なぜDORAの免除はここに届かないのか. ここは通常以上に正確さが要る。誤った答えを導く推論が、実のところ本物の良い推論であり、ただ一つ規則を跨ぎ越しているだけだからだ。.
あなたは製造者か。誰もあなたのために答えていない. ここでの誠実な立場は、この問いが決着済みではなく未決であり、決着を待つ銀行は期日を過ぎても待ち続けることになる、というものだ。.
時計の衝突. 分析の結果、少なくとも一つの成果物が範囲内に落ちたと仮定しよう。運用上変わるのはインシデント対応プロセスの有無ではない——銀行はそれを持っている——同一の事象の上を、異なるパラメータの二つのプロセスが同時に走るという事実である。.

三十九日後、サイバーレジリエンス法（CRA）が二十四時間の報告時計を回し始める。そして、どの銀行も真っ先に手を伸ばす免除は、その時計を止めない。金融機関にNIS2は適用されるかと尋ねれば、答えは淀みなく返ってくる。DORAはlex specialisであり、分野別法令が同じ領域を覆う場合にはNIS2第4条が退く。ゆえに銀行はICTインシデントをCSIRTではなく所管当局へ報告する——正しい答えだ。そして、まさにこの答えが、まったく別の規則についての問いに対して誤って持ち出されようとしている。CRAが規律するのは事業体ではない。製品であり、義務を負うのはそれを製造した者である。適用範囲の条文に金融サービスの除外は存在しない。事業体法のために書かれた除外規定は、製品法の中に取り付く先を持たないからだ。2026年9月11日以降、ソフトウェアを市場で提供する銀行はENISAに対し二十四時間以内の早期警告を負う——DORAの代わりにではなく、DORAに加えて。

エグゼクティブ・サマリー

地平線ではなく、作動中の期日。 第14条は2026年9月11日から適用される。CRAの残りは2027年12月11日まで待つ。計画上の誤りは、この二つの事実の距離に宿る。

適用範囲を決めるのは、何者であるかではなく、何を出荷したか。 CRAの除外は他の製品法制——医療機器、車両、航空、船舶用機器——である。銀行業はそこに並んでおらず、並ぶ予定もなかった。

引き金は悪用であって、重大性ではない。 積極的に悪用された脆弱性は、顧客に影響がなくとも、DORA上の重大インシデントに当たらなくとも、時計を動かす。

今日、誰も所有していない。 DORA報告はオペレーショナル・レジリエンスに属する。CRA報告は製造者とみなされる者に属する——大半の銀行が一度も割り当てたことのない役割だ。

9月11日に実際に始まるもの

CRAは2024年12月10日に段階的な適用日程とともに発効した。そして、失われるのはまさにその段階性である。

全面適用——附属書Iの必須サイバーセキュリティ要件、適合性評価、CEマーキング、技術文書——は2027年12月11日に落ちる。適合性評価機関の通知は2026年6月11日に開いた。その二つの間に、今四半期に効いてくる日付がある。第14条の報告義務が始まる2026年9月11日だ。

報告の構造は三段階であり、一読した印象より締まっている。

製造者が、積極的に悪用された脆弱性、または製品のセキュリティに影響を及ぼす重大インシデントを認識してから24時間以内の早期警告。
技術的詳細と、講じた是正措置または緩和措置を載せた72時間以内の完全な届出。
積極的に悪用された脆弱性について是正措置が利用可能となってから14日以内の最終報告、または重大インシデントについて届出から1か月以内の最終報告。

報告はENISAが運用するCRA単一報告プラットフォームを通る。製造者は一度だけ、主たる拠点のある加盟国で調整者に指定されたCSIRTへ提出する。プラットフォームは同時にその届出をENISAへ利用可能とし、受領したCSIRTは製品が流通する他の域内のCSIRTへ伝達する。この一回提出の設計は事務手続上の言い訳を取り除くが、時計を緩めはしない。

引き金に注目してほしい。重大性でも顧客影響でもなく、悪用である。実環境で積極的に悪用されている脆弱性は、誰かが被害を受けたか否かにかかわらず、また同じ事実が他所で重大インシデントに分類されるか否かにかかわらず、24時間の義務を開始させる。

なぜDORAの免除はここに届かないのか

ここは通常以上に正確さが要る。誤った答えを導く推論が、実のところ本物の良い推論であり、ただ一つ規則を跨ぎ越しているだけだからだ。

NIS2第4条は差し戻しの仕組みを備える。分野別のEU法令が事業体にサイバーセキュリティ・リスク管理措置の採用または重要インシデントの届出を求め、かつその要求が効果において少なくとも同等である場合、対応するNIS2の規定は適用されない。DORAはまさにそうした法令である。したがって信用機関はDORAの下でICTリスクを管理し重大インシデントを届け出て、NIS2の並行義務は退く。どの規制対応部門もこれを諳んじられる。

この類推をCRAへ持ち込んだ途端、三つの点が破綻する。

仕組みはNIS2の内側に住んでいる。 第4条は指令 (EU) 2022/2555の規定が指令 (EU) 2022/2555の規定の適用を外すものである。金融事業体の分野別体制が他のすべてを押しのける、という一般原則ではない。規則 (EU) 2024/2847の中へ手を伸ばして何かを止めることはできない。CRAの中にそれに服するものは何もないからだ。

CRAが規律するのは製品であって事業体ではない。 DORAもNIS2もあなたはどのような組織かを問う。CRAはあなたは何を市場に出したかを問う。異なる問いであり、両者の間の同等性の議論は成り立たない。DORAの報告制度が、出荷済みの成果物が悪用されていることをCSIRTへ警告する製造者の義務と「効果において同等」であるという意味は、どこにも存在しない。守る対象が違うからだ。DORAは監督当局を通じて金融システムを守る。第14条はCSIRTネットワークを通じて、その製品を動かすすべての者を守る。

除外の形が違う。 CRAの適用範囲条文が外すのは、他の分野別製品法制の対象となる製品である——規則 (EU) 2017/745および2017/746の下の医療機器、規則 (EU) 2019/2144の下の車両、規則 (EU) 2018/1139の下の民間航空、指令2014/90/EUの下の船舶用機器。加えて同一仕様で製造された交換部品、および国家安全保障または防衛の目的にのみ開発された製品。金融サービスの除外はなく、DORA規制下の事業体が製造した製品の除外もない。これはガイドラインが後から正す手落ちではない。立法者が製品法を書くときに起きることである。産業を除外するのではなく、他の製品法制を除外するのだ。

表1：三つの体制と、退くのはどれか

	DORA	NIS2	CRA
規律対象	金融事業体	重要事業体および重要度の高い事業体	デジタル要素を持つ製品
義務を負うのは	当該機関	当該機関	製造者
報告の引き金	重大と分類されたインシデント	重要インシデント	積極的に悪用された脆弱性または重大インシデント
報告先	所管当局	CSIRTまたは所管当局	主たる拠点のCSIRT、およびENISA
銀行について排除されるか	いいえ——それ自体がlex specialis	はい、NIS2第4条経由で	いいえ——排除するものがない

あなたは製造者か。誰もあなたのために答えていない

ここでの誠実な立場は、この問いが決着済みではなく未決であり、決着を待つ銀行は期日を過ぎても待ち続けることになる、というものだ。

CRAが及ぶのは、市場で提供されるデジタル要素を持つ製品——商業活動の過程において流通または使用のために供給されるもの——である。この文言から直ちに二つの帰結が生じる。

価格は基準ではない。 無償で供給されるソフトウェアも、商業活動の過程で供給されるならば範囲に入る。オープンソースに関する欧州委員会自身の整理も、支払いではなく商業活動を軸に据えている。そして、有料顧客を獲得し維持するためにアプリケーションを配布する銀行は、商業活動の過程の外で行動してはいない。「アプリは無料で配っているのだから製品を売ってはいない」という直感は、この案件が開かれずに来た最も一般的な理由であり、利用可能な議論の中で最も弱いものである。

純粋な内部利用ソフトウェアは本当に範囲外である。 市場で提供されない製品——勘定系プラットフォーム、社内ツール、機関の外へ供給されることのないすべて——は捕捉されない。これは実在する相当な除外であり、この分析の恐慌版が示唆するよりも露出が狭い理由でもある。

したがって問いは、銀行が事業体として範囲に入るかではない。どの具体的な成果物を供給しているかである。結論に至る前に棚卸しすべき四つの類型がある。

モバイルバンキング・アプリケーション。アプリストアを通じて一般公衆へ配布されるもの。顧客向けアプリが使用のために供給される製品なのか、銀行が提供する役務への単なるインターフェースなのかが、真に争いのある問いである——争いがあるのであって、銀行に有利に決着してはいない。
開発者向けの成果物。法人顧客やパートナー向けに公開されるSDK、クライアントライブラリ、API用ツール、参照実装。これらは供給される製品にはるかに近く、役務のインターフェースからははるかに遠い。
機関が商業活動の一環として公開・維持するオープンソース・プロジェクト。管理者（steward）に関する規定も併せて働きうる。
自社名で提携先へ再提供するホワイトラベルまたは組込みソフトウェア。EUのどの製品法制においても、利用者から製造者へ移る最短経路である。

誠実な計画上の構えは、結論を断言することではない。成果物を棚卸しし、それぞれについて理由を付した立場を記録し、なぜ届出が来なかったのかとCSIRTに問われたときにその論拠を示せるようにしておくことである。

時計の衝突

分析の結果、少なくとも一つの成果物が範囲内に落ちたと仮定しよう。運用上変わるのはインシデント対応プロセスの有無ではない——銀行はそれを持っている——同一の事象の上を、異なるパラメータの二つのプロセスが同時に走るという事実である。

銀行が公開したSDKの脆弱性が積極的な悪用下に入る。DORAは、これが当該機関に影響するICT関連の重大インシデントかを問い、該当するならば、初報はその分類から4時間以内、かついかなる場合も認識から24時間以内に所管当局へ向かい、中間報告と最終報告が続く。第14条はまったく別のことを問う——この機関が製造した製品が悪用されているか——そして自らの24時間の早期警告をCSIRTとENISAへ向けて起動する。

両者は双方向に乖離しうる。だからこそ、単一に統合したプロセスは危うい。

出荷済みSDKで悪用された脆弱性が、銀行自身の役務に何の障害ももたらさない場合、DORA上はまったく重大インシデントに当たらない一方で、第14条のど真ん中に座りうる。逆に、内製プラットフォームの深刻な障害は、市場に出したものが何もない以上、CRAの側面を一切持たないDORA届出である。両者が常に同時に発火すると前提する単一のワークフローを組めば、偽陰性と不要な規制上のノイズを同時に生む。

表2：9月11日までに確定すべきこと

問い	それが露出の何を決めるか
機関の外へ供給している成果物は何か	適用範囲は製品ごと。事業体単位の答えは存在しない
各成果物について製造者該当性の立場を記録したか	記録のない前提は防御にならない
CSIRTとの関係で主たる拠点はどこか	どの国のCSIRTが提出を受けるかを決める
ENISAの単一報告プラットフォームに登録済みか	24時間は登録手続の存在に気づくには短すぎる
「積極的に悪用」の判断責任者はトリアージにいるか	引き金は既存のどの重大度尺度とも異なる
日曜午前3時に提出するのは誰か	二つの時計はいずれも実時間で回る。営業時間ではない

優先順位を決める数字

附属書Iの必須要件および第13条・第14条の義務への違反は、**1,500万ユーロまたは全世界年間総売上高の2.5％**のいずれか高い方までの制裁金の対象となる。製造者・輸入者・流通業者のその他の義務は一段下の1,000万ユーロまたは2％、当局への不正確または誤解を招く情報の提供は500万ユーロまたは1％に位置する。

最上段を、それが結び付いている作業量と並べて読んでほしい。四つの類型の成果物が範囲に入るかを判定し、報告プラットフォームに登録し、既存のトリアージ手順に分岐を一つ加える——責任者が定まり五週間の助走がある、ささやかな仕事である。2027年12月に控える適合性評価と技術文書の計画とは比較にならない。露出と是正コストの非対称性こそが議論のすべてであり、優先順位付けの会議との接触を生き延びる稀なコンプライアンス論である。

運用プレイブック

五つの動き。そして最初のものは法律意見ではない。

建物の外へ出るものを棚卸しする。 システムではなく成果物を。無償アプリケーション、公開ライブラリ、オープンソース・リポジトリを含め、機関が外部の誰かへ供給するすべて。大半の銀行はこの一覧を持たない。従前のいかなる規制もそれを求めなかったからだ。
成果物ごとに、書面で立場を定める。 製造者か否か、そしてその理由。価値は全行を正しく当てることにはない。インシデントの後に構築するのではなく、それに先立つ論拠を持つことにある。
単一報告プラットフォームへ今すぐ登録する。 登録、資格情報、指名された提出者は、24時間の時計がすでに回り始めるまで見えないままの前提条件の典型である。
トリアージで引き金を分ける。 明示的な問い——我々が製造した製品が積極的に悪用されているか——を追加し、DORAの重大インシデント分類とは独立に評価する。独立であることが要点だ。入れ子の判定は誤った閾値を継承する。
2027年12月の期日に向けてSBOM作業を始める。 附属書Iは、少なくとも最上位の依存関係を網羅する、一般的な機械可読形式のソフトウェア部品表を要求する。この義務は十六か月先であり、各機関が暗号側ですでに躓いているのと同じ列挙の問題である。

この構図は新しくない。ある産業を念頭に体制が起草され、金融機関はその産業名を読み、案件は他人のものだと結論する。CRAは機器メーカーとソフトウェア提供者のために書かれた。それでも銀行に届く——銀行がたまたまその一員である、狭い場所において。そして誰もが最初に手を伸ばす免除は、別の法律に、別の目的のために書き込まれたものであり、ここには適用されない。

よくある質問

当社はDORAで報告しています。それで足りませんか。
足りません。DORAが並行するNIS2の義務を押しのけるのは、NIS2自身の第4条の差し戻しの仕組みによってです。この仕組みはNIS2の内部にあり、規則 (EU) 2024/2847には作用しません。CRAは金融事業体ではなく製品の製造者に義務を課すため、lex specialisの議論が押しのけられる対象そのものが存在しません。

当社のモバイルバンキング・アプリは範囲に入りますか。
それが真に未決の問いであり、前提として片付けるのではなく意識的に答えるべきものです。アプリはデータ接続を伴うソフトウェアであり、商業活動の過程で公衆に供給されています——これが条文の文言です。反対の論拠は、それが使用のために供給される製品ではなく、規制対象の役務へのインターフェースである、というものです。立場を記録してください。無償であることに寄りかからないこと。価格は基準ではありません。

24時間の時計を起動するのは正確には何ですか。
自社製品の脆弱性が積極的に悪用されていることの認識、または製品のセキュリティに影響を及ぼす重大インシデントの認識です。引き金は悪用であって、重大性でも顧客影響でもありません。だからこそDORAの重大インシデント分類と重なりません。

実際にはどこへ提出するのですか。
ENISAのCRA単一報告プラットフォームを通じ、主たる拠点のある加盟国で調整者に指定されたCSIRT宛てに提出します。ENISAは同時に受領し、受領したCSIRTが製品の流通する他の域内のCSIRTと共有します。提出は複数ではなく一度きりです。

9月に他に始まるものはありますか。
ありません。第14条の報告義務のみです。必須サイバーセキュリティ要件、SBOM義務、適合性評価、技術文書、CEマーキングはいずれも2027年12月11日から適用されます。9月を案件の全体だと捉えるのは、それを無視することの裏返しです。

範囲の判断を誤った場合の代償は。
第13条・第14条および附属書Iの必須要件への違反は、1,500万ユーロまたは全世界年間総売上高の2.5％のいずれか高い方までの制裁金の対象です。より差し迫った代償は手続上のものです。逃した早期警告は遡って治癒できません。そして、自らが製造者であったと機関が気づく瞬間が、なぜ届出が来なかったのかとCSIRTに問われている瞬間であってはなりません。

参考文献

欧州議会および欧州連合理事会, 2024. デジタル要素を持つ製品に関する水平的サイバーセキュリティ要件に関する規則 (EU) 2024/2847（サイバーレジリエンス法）. ブリュッセル：欧州連合官報. 入手先：欧州議会および欧州連合理事会, 2024.．
欧州委員会, 2026. サイバーレジリエンス法——報告義務. ブリュッセル：通信ネットワーク・コンテンツ・技術総局. 入手先：欧州委員会, 2026.．
欧州委員会, 2026. サイバーレジリエンス法——立法文の要約. ブリュッセル：通信ネットワーク・コンテンツ・技術総局. 入手先：欧州委員会, 2026.．
欧州議会および欧州連合理事会, 2022. 連合全体で高い共通水準のサイバーセキュリティを確保する措置に関する指令 (EU) 2022/2555（NIS2指令）. ブリュッセル：欧州連合官報. 入手先：欧州議会および欧州連合理事会, 2022.．
欧州議会および欧州連合理事会, 2022. 金融セクターのデジタル・オペレーショナル・レジリエンスに関する規則 (EU) 2022/2554（DORA）. ブリュッセル：欧州連合官報. 入手先：欧州議会および欧州連合理事会, 2022.．

最終確認日 2026-08-16.

この記事を転載

DORAはNIS2からあなたを守った。CRAからは守らない。 — Sebastien Rousseau

9月11日、CRAの24時間報告義務が始まる。義務は製品に付くため、NIS2を免れさせたDORAの例外はここには届かない。

本記事のライセンスは Creative Commons Attribution 4.0 International. 転載の際は正規URLへの帰属表示が必要です。

DORAはNIS2からあなたを守った。CRAからは守らない。 — Sebastien Rousseau

9月11日、CRAの24時間報告義務が始まる。義務は製品に付くため、NIS2を免れさせたDORAの例外はここには届かない。

Originally published at https://sebastienrousseau.com/ja/2026-08-03-cyber-resilience-act-article-14-reporting-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER