DORAが求めること
DORAは2025年1月にEU法として施行されました。銀行、保険会社、投資会社、決済サービス事業者は、利用するすべての技術サプライヤーのリスクを管理しなければなりません。特に重要なルールは3つです。
必須契約条項（第30条）。 技術プロバイダーとの各契約は、4つの点をカバーする必要があります：監査権、インシデント通知期限、出口計画、パフォーマンス目標。これらの条項は任意ではありません。
年次評価（第28条）。 企業は重要なサプライヤーを少なくとも年1回確認しなければなりません。プロバイダーが「重要」とされるのは、その障害が通常業務を停止させる場合です。コンプライアンス業務で使用する匿名化ツールもこの対象に含まれます。
サプライヤー登録簿（第28条第3項）。 企業はすべての重要な第三者契約の最新リストを保持しなければなりません。リストには各契約のセキュリティ文書を含める必要があります。
数十のサプライヤーの年次評価を実施することは時間がかかります。ゼロから行うカスタム評価は、1サプライヤーあたり40〜80時間かかると推定されます。50の重要なサプライヤーを持つオランダの銀行は、年間最大4,000時間の評価作業に直面します。これはサプライヤー評価だけに専念する2名のフルタイムスタッフに相当します。
ISO 27001が評価時間を削減
ISO 27001認証は、DORAの年次評価義務を満たすより迅速なルートを提供します。認証機関は毎年サーベイランス審査を実施し、3年ごとに完全な再認証審査を行います。証明書には有効期限があります。年次確認が合格している間のみ有効です。
DORAの年次評価ルールに基づき、企業はサプライヤーの最新ISO 27001証明書を年1回取得して日付を確認できます。有効な日付は、独立した審査機関が過去12ヶ月でサプライヤーの93のセキュリティコントロールを審査したことを意味します。企業はこれをサプライヤー登録簿に記録します。評価は完了です。
時間の節約は実際にあります。認証済み匿名化ツールを確認するオランダの銀行は、数時間で評価を完了します。ゼロから行う同じ評価は数週間かかります。20の認証済み第三者にわたると、年間の節約は1,200時間に達する可能性があります。その時間を他の業務に充てることができます。
プライバシーツールが対象範囲に含まれる理由
プライバシーおよび匿名化ツールは、企業がクライアントデータの処理、GDPRルールの遵守、またはKYC文書の処理にそれらを使用する場合、DORAの対象となります。ツールが停止し、企業がGDPR準拠の出力を作成できない場合、そのツールはDORAの下での重要な第三者です。毎年評価する必要があります。
GDPRコンプライアンスガイドでデータ最小化ルールを説明しています。ISO 27001のサプライチェーンコンプライアンスについてはISO 27001ダウンストリームコンプライアンス価値、評価時間短縮についてはISO 27001ベンダー評価ショートカットもご参照ください。