について EU e-エビデンス規則（EU）2023/1543 is often discussed as if it were a problem only for telecoms. It is not. Since 2026年8月18日, online marketplaces, SaaS platforms, cloud storage and IaaS providers, hosting companies, social networks and collaboration tools can all be in scope, if they let users communicate with each other or if storing data for users is a defining part of the service. If that describes your platform and you offer services to users in the EU, you must be ready to receive and execute European Production Orders (sent as EPOCs) and European Preservation Orders (transmitted as EPOC-PR certificates) — directly from the issuing authority, on tight regulatory deadlines. For production orders covering traffic or content data, the authority in your addressee’s Member State is usually notified and can raise grounds for refusal within 10 days (96 hours in emergencies).
For platforms that have historically dealt with data requests as an occasional, ad-hoc legal matter, this is a step-change. The German government’s implementing bill estimates around 10,000 affected service providers in Germany alone. This guide explains exactly which platforms are affected, what kinds of orders to expect, what the regulation requires of marketplaces and cloud providers in particular, and how to build a compliant operating model now that the Regulation applies.
e-エビデンスの対象となるオンライン・プラットフォームは？
同規則は、現代のオンラインサービスの実態を把握するため、意図的に広範で技術中立的な定義を使用している。プラットフォーム事業者に最も直接関連するカテゴリーは以下の通り：
- オンライン・マーケット — where they let buyers and sellers communicate with each other (messaging, Q&A, reviews) or store data on users’ behalf; being a marketplace is not enough on its own (Regulation (EU) 2023/1543, Art. 3(3)(c) and recital 27). This can cover B2C marketplaces, peer-to-peer trading platforms, ticketing platforms, gig and on-demand marketplaces, and rental platforms.
- クラウド・コンピューティングとストレージ・プロバイダー - IaaS、PaaS、SaaSプロバイダー、オブジェクト／ファイル・ストレージ・サービス、バックアップ／災害復旧プロバイダー、マネージド・データベース・サービス。.
- ホスティング・プロバイダー — managed hosting, dedicated servers, VPS, and CDNs and edge platforms where they store customer data.
- ソーシャル・ネットワークとオンライン・コミュニティ - フォーラム、出会い系アプリ、プロフェッショナル・ネットワーク、ソーシャル機能を備えたゲーム・プラットフォーム、クリエイター／ストリーミング・プラットフォームなど。.
- ユーザーデータを保存する情報社会サービス - コラボレーション・スイート、ファイル共有ツール、プロジェクト管理プラットフォーム、ローコード／ノーコード・プラットフォーム、プロンプトやアウトプットを保持するAI製品。.
- インターネット・ドメインおよびIP番号サービス — registries, registrars, privacy/proxy services and regional internet registries.
- 数字に依存しない対人コミュニケーション - オーバー・ザ・トップのメッセージング、ビデオ会議、チャット機能が大型製品に組み込まれている。.
極めて重要なのは、同規則が “「実質的関係」テスト: you are in scope if users in the EU can use your service and you have a substantial connection to the EU: an establishment there, a significant number of EU users, or activities targeted at EU Member States (language, currency, local app store, ads), regardless of where your corporate entity is registered. Mere accessibility of your website is not enough.
当局はどのようなデータを要求するのか？
同規則は、電子証拠を4つのカテゴリーに分類し、それぞれに異なる閾値と保護措置を設けている：
- 加入者データ - 身元、連絡先、請求情報、利用サービスの種類、登録日。.
- 利用者を特定することのみを目的として要求されるデータ — IP addresses with, where needed, source port and timestamp, requested only to identify a person.
- 交通データ (other than identification data) — connection logs, transaction metadata, purchase history, device IDs, timestamps and routing information.
- コンテンツ・データ — listings, messages, uploaded files, photos, documents and other substantive content.
For production orders, subscriber and identification data may be requested for any criminal offence; traffic and content data are reserved for offences punishable in the issuing State by a maximum sentence of at least three years, or for listed offences: non-cash payment fraud, child sexual abuse and attacks against information systems committed online, and terrorist offences. Preservation orders can cover any data category for any criminal offence. Marketplaces and cloud platforms typically hold all four categories — which is why precise data mapping is a foundational compliance task.
マーケットプレイスとクラウド・プラットフォームにおける典型的なe-エビデンス・シナリオ
オンライン・マーケットプレイス詐欺
An investigator pursuing a fraud ring asks a marketplace operator for the seller’s identity, registration IP, transaction history and message threads with victims. Subscriber data and the registration IP address (identification data) can be ordered for any criminal offence. Transaction metadata, message threads and photos are traffic and content data: they need a judge-issued or judge-validated order for an offence carrying a maximum of at least three years (or a listed offence such as online payment fraud), and the enforcing State is usually notified at the same time.
クラウドプラットフォームにおけるランサムウェアとインフラの悪用
A prosecutor investigating a ransomware operation asks a cloud provider for control-plane logs, instance metadata, billing identity and storage access logs for a suspect tenant. Where the attack threatens life or critical infrastructure (e.g. a hospital), these can arrive as emergency orders with an 8-hour deadline; otherwise the 10-day deadline applies.
オンライン児童安全調査
Investigations into child sexual abuse material on social or content platforms typically combine identification orders with content production and preservation orders. These cases benefit from the Regulation’s specific offence list and, where a child is at imminent risk, the 8-hour emergency regime, but also demand the highest standards of integrity and chain of custody.
アカウント乗っ取りと大規模フィッシング
Authorities may issue European Preservation Orders (sent as EPOC-PRs) early in an investigation to lock down logs and account data while a production order is prepared. Platforms must be able to preserve specific datasets for 60 days, extendable by 30, and for as long as needed once the authority confirms that a production request has been issued, without disturbing normal retention or analytics workflows.
Designated Establishment or Legal Representative: Who Receives Your Orders
Every in-scope provider that is active in more than one Member State, or established outside the EU, must name an addressee for orders: EU-established providers designate one of their EU establishments as the 指定事業所; providers without an EU establishment appoint a 法定代理人 in a participating Member State (Directive (EU) 2023/1544, Art. 3). New entrants have six months from launch. This addressee is the address of service for every EPOC and EPOC-PR — and is itself liable for compliance.
- Without a designated establishment or legal representative you breach national law implementing Directive (EU) 2023/1544 (in Germany: fines up to EUR 500,000). Failing to execute orders can cost up to 2% of worldwide turnover.
- 指定された事業体は，管轄の国家当局（ドイツでは，以下の機関）に登録されなければならない。 連邦司法省; 他の加盟国にも同等のものがある）。.
- 規制の期限内に命令を実行する権限と運用能力を持たなければならない。.
- グローバルな法務、セキュリティ、エンジニアリングの各チームと、しばしば時差を越えてシームレスに連携しなければならない。.
For non-EU platforms, the most efficient solution is often a legal representative service: an EU-based partner appointed under Directive (EU) 2023/1544, jointly liable with you, that runs the 24/7 intake, validates and triages orders, and escalates to your in-house teams the substantive decisions that require platform-side knowledge. SMEs may share a legal representative with other providers.
マーケットプレイスとクラウドプラットフォームの運用要件
コンプライアンスは単なる事務作業ではない。10日間の標準期限と8時間の緊急期限を確実に守るために、通常、プラットフォームには以下のものが必要です：
- Secure intake through the national e-Evidence system of the Member State where your addressee sits, either via the ETSI TS 104 144 API or the web interface, with validation of qualified electronic signatures and seals (Art. 21) and issuing-authority credentials.
- クロスシステムデータディスカバリー レガシーデータストアと最新のデータストアにまたがる加入者、識別情報、トラフィック、コンテンツデータを検索することができる。.
- Standardised delivery through the same channel, in formats the issuing authority can process, with integrity hashes.
- 暗号化配信 to the issuing authority’s X.509 certificate where one is supplied, with verifiable receipt and audit-grade logging; files over 25 MB go by the most appropriate secure alternative means (Art. 19(5)).
- 改ざん防止監査証跡 これは、証拠としての完全性と事後の規制当局の審査に不可欠なものである。.
- 24時間年中無休のオンコール体制による法律および技術対応者, リハーサルされた緊急オーダー用のランブックがある。.
- データの最小化管理 GDPR第5条に従い、特別に注文されたもののみを開示することを保証します。.
- Optional e-Evidence statistics (Art. 28(4)), coordinated with any DSA transparency reporting you already publish.
このすべてを社内で構築することは、最大規模のプラットフォームでは可能だが、ほとんどのマーケットプレイスやクラウドプロバイダーは、専用のソリューションから利益を得ている。しかし ICS e-Evidenceコンプライアンス・プラットフォーム は、取り込みから検証、抽出、レビュー、配信までのライフサイクル全体をカバーし、既存のID、ロギング、ストレージ・システムと統合する。.
クラウド・サービス・プロバイダーに関する特別な考慮事項
Cloud providers face several layered challenges that pure-content platforms do not. Orders should normally go to your business customer as data controller. You will be addressed directly only if the controller cannot be identified or approaching it would jeopardise the investigation, and you must inform the customer unless the authority asks you not to (Art. 5(6)-(7)).
- マルチテナントと分離： プロダクションは、技術的にも契約上も、他のテナントを危険にさらすことなく、単一の顧客のデータをターゲットにしなければならない。.
- 顧客が管理する暗号化： 顧客が独自の鍵を保持する場合（BYOK/HYOK）、プロバイダはコンテンツ・データを作成できな い可能性があり、その制限は文書化され、通知されなければならない。.
- 責任を共有する： 契約書やデータ処理契約書には、どの当事者がどのデータについて法執行命令を受け、実行する責任を負うかを明記すべきである。.
- 顧客への通知 商業顧客、特に企業のB2B顧客は、発行当局が課す守秘義務を条件として、アクセス要求の通知を受ける契約上の権利を有することが多い。.
- 地域を越えた複製： data may sit in multiple Member States or third countries, raising potential conflicts between EU orders and third-country law (the “Article 17 review”), raised as a reasoned objection within 10 days; the mere fact that data is stored outside the EU is not a valid ground.
オンライン・マーケットプレイスに関する特別な考慮事項
- 売主検証データ (KYC、事業登録、タックスID）は、調査者にとって最も価値の高い加入者データであることが多く、容易に抽出できなければならない。.
- リストとメッセージ は一般的にコンテンツ・データであり、より高い犯罪重要度のしきい値を生成する必要がある。.
- 支払いデータ held by payment service providers is outside the e-Evidence Regulation (financial services are excluded); authorities obtain it through national procedures.
- 越境セラー e-エビデンスは、消費者保護、VAT、DSAの義務と重複する。.
コンプライアンス違反に対する罰則
Member States must impose effective, proportionate and dissuasive penalties. Member States must allow pecuniary penalties of up to 2% of total worldwide annual turnover for failing to execute orders or protect their confidentiality. Germany, for example, fines up to EUR 500,000, or up to 2% of turnover for providers above EUR 25 million; for hyperscalers and large marketplaces, the headline figures rapidly become material to financial reporting. Beyond fines, repeated failures can trigger court orders, regulatory action and significant reputational damage with enterprise customers, partners and investors.
A 90-Day Catch-Up Plan for Platforms
- Days 1–15 — Scope and data mapping. どのエンティティおよびサービスが対象であるかを確認し、システム間の加入者／識別／トラフィック／コンテンツ・データをマッピングし、ギャップを特定する。.
- Days 15–30 — Legal foundations. Designate an EU establishment or appoint a legal representative, register with the competent authority, update contracts, DPAs, terms and law-enforcement guidelines.
- Days 30–60 — Technical build. Connect to the national e-Evidence system of the Member State where your addressee sits (ETSI TS 104 144 API or web interface). As of September 2026 only Germany and Ireland can receive orders this way; elsewhere, agree a secure fallback channel with the authorities. Deploy intake/validation/extraction tooling, harden audit logging.
- Days 60–80 — Operational readiness. 年中無休の対応チームのリクルートと訓練、実行要綱の作成、緊急時の卓上訓練の実施。.
- Days 80–90 — Assurance. Independent compliance audit, board-level sign-off and a go-live rehearsal.
よくある質問
より詳細なリファレンスは e-エビデンス FAQ.
e-Evidenceは小規模なマーケットプレイスやクラウドの新興企業にも適用されるのか？
Yes. There is no general SME exemption. If you offer an in-scope service to users in the EU, you are in scope regardless of headcount or revenue. Smaller platforms can scope their compliance proportionately, but the core obligations — designated establishment or legal representative, intake, response capacity — still apply. The exception: a provider established in one Member State and offering services only there need not designate an addressee (Directive (EU) 2023/1544, Art. 1(5)). SMEs may share a legal representative with other providers.
既存の法執行機関のワークフローに頼っていていいのだろうか？
Probably not. Most existing workflows assume manual email/portal intake and weeks of turnaround. The e-Evidence Regulation requires intake through the national e-Evidence system (ETSI TS 104 144 API or web interface), hour-level emergency response and tamper-evident audit logs that legacy workflows usually do not provide.
データがサブプロセッサーまたは当社グループの他の組織によって保持されている場合はどうなりますか？
The provider receiving the order is responsible for executing it. Orders are normally addressed to the data controller; a processor is addressed only if the controller cannot be identified or approaching it would jeopardise the investigation, and must then inform the controller unless told not to (Art. 5(6)-(7)). Internal contracts and data-processing arrangements must be aligned so that you can compel a sub-processor or affiliate to deliver data within the regulatory deadlines.
エンド・ツー・エンドの暗号化サービスは？
同規則は、プロバイダに対して暗号化を弱めることを要求していない。顧客が保有する鍵や真のE2Eアーキテクチャのために、コンテンツデータに純粋にアクセスできない場合、その制限を伝えることはできるが、それでもアクセスできる加入者、識別情報、メタデータを作成しなければならない。.
ICSがプラットフォームの準備を支援する方法
ICSは テクニカル・コンプライアンス・プラットフォーム and a legal representative service (with support for EU providers running their own designated establishment) for platforms of all sizes — from fast-growing SaaS scale-ups to global marketplaces and hyperscale cloud providers. Our combined offering covers intake through the national e-Evidence system (ETSI TS 104 144 API or web interface), automated validation, multi-system data extraction, encrypted delivery, tamper-evident audit logging and 24/7 managed operations, all framed within an integrated e-Evidenceコンプライアンス・プログラム.
今すぐICSにご連絡ください for an independent e-Evidence readiness assessment for your platform, with a clear plan to close any gaps now that the Regulation applies (since 18 August 2026).
