英国・EUの規制当局、重要テクノロジー提供事業者に対する監督を連携

英国の金融行為監督機構（FCA）、イングランド銀行および健全性規制機構（PRA）は、重要な第三者提供事業者に対する監督を連携させるため、欧州監督機構（ESAs）との間で覚書（MoU）を締結しました。

この取決めは、英国の重要第三者（CTP）制度と、EUのデジタル・オペレーショナル・レジリエンス法（DORA）に基づく枠組みの双方に関係する事業者について、協力を支援することを目的としています。情報共有および監督の連携を定めており、サイバー攻撃や停電などの業務上のインシデント発生時も対象となります。

英国のCTP規則は2025年1月1日に施行されました。ただし、事業者に適用されるのは、英国財務省（HM Treasury）が当該事業者をCTPとして指定した後です。どの第三者サービス提供事業者が制度の対象となるかは、英国財務省が決定します。

CTPに指定された事業者は、規制当局に対して定期的な保証（規制要件への適合や統制の有効性を示す情報）を提供し、レジリエンス試験を実施するとともに、重大なインシデントを報告しなければなりません。もっとも、このMoU自体がこうした義務を新設するものではありません。英国とEUの双方で監督対象となる事業者について、両地域の当局が連携するための仕組みを設けるものです。

今回の動きは、英国およびEUの金融機関を支える大手テクノロジー事業者、クラウド事業者、データ事業者その他のアウトソーシング・サービス提供事業者にとって、特に重要です。英国で指定を受けた事業者、またはDORA上「重要」と分類される事業者は、レジリエンスやサイバーセキュリティに関するインシデント時に、より連携の取れた監督対応や国境を越えた情報共有を受ける可能性があります。