欧州連合（EU）の新たなサイバーセキュリティ規則により、暗号資産のウォレット提供者に対して迅速なインシデント報告義務が課されることになりました。対象となる事業者は、エクスプロイト（不正流出や悪用）の発生から24時間以内に初期の脆弱性報告を提出し、72時間以内に詳細な通知を行わなければなりません。報告義務を怠った事業者には最大1,730万ドルの行政罰金が科される可能性があり、EU市場で活動するウォレット提供企業にとってコンプライアンス管理の強化が急務となります。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
24時間以内の初期報告と72時間以内の詳細通知
欧州連合の規制当局は、暗号資産ウォレット提供者に対してセキュリティインシデントに関する厳格なタイムラインを設定しました。
事業者は、提供する製品やサービスにおいてエクスプロイトが確認された場合、認知から24時間以内に初期の脆弱性報告を提出する必要があります。さらに、事態の全容や詳細情報を含む完全な通知を72時間以内に提出することが求められます。
外部の公的情報によると、この報告義務はEUのサイバー・レジリエンス法（CRA）に基づくものであり、EU市場で提供されるハードウェアおよびソフトウェアのウォレット製品が対象に含まれるとされています。初期報告の期限を極めて短く設定することで、重大な脅威を速やかに把握し、被害の拡大を抑止する狙いがあるとみられます。
最大1,730万ドルの行政罰金と業界への影響
報告要件に従わなかった場合の罰則は極めて高額に設定されています。規定の期限内に報告を行わなかった事業者は、最大1,730万ドル（約1,500万ユーロ）の行政罰金が科されるリスクに直面します。
暗号資産ウォレットは利用者の秘密鍵や資産を直接保護する重要なインフラであり、脆弱性が放置された場合の経済的損失は甚大です。今回のように多額の罰則が定められたことにより、事業者は脆弱性の発見から検証、当局への報告までを短時間で完結させる内部プロセスの構築を迫られることになります。
EU市場で製品やサービスを展開するウォレット開発企業は、セキュリティ体制の再点検とともに、インシデント発生時の緊急対応フローを法令に合わせて見直す必要があるとみられます。
ポイント
- 暗号資産ウォレット提供者に対し、エクスプロイト発生から24時間以内の初期脆弱性報告が義務付けられました。
- 初期の報告に続き、72時間以内には詳細な完全通知を当局へ提出することが求められます。
- 報告義務に違反した場合、最大1,730万ドルの行政罰金が科されるリスクがあります。
- 違反時のペナルティが極めて重く、EU市場で事業展開するウォレット事業者は即応可能なインシデント報告態勢の確立が求められる点で注目されます。