について EU e-エビデンス規則（EU）2023/1543 has applied directly across the participating Member States since 2026年8月18日. For online service providers, this is one of the most significant cross-border compliance shifts since the GDPR. From 18 August 2026, authorities in the participating Member States (all except Denmark) can issue European Production Orders (sent as EPOC certificates) and European Preservation Orders (sent as EPOC-PR certificates) directly to service providers once their national implementation is in place, with binding deadlines measured in hours, not weeks. Most Member States are still completing it: in September 2026 the Commission listed only six as legally ready and only Germany and Ireland as technically ready to receive orders through the system. Until the others are live, orders may arrive through secure alternative channels.
あなたの組織がEU域内のユーザーに対して電子通信、ホスティング、クラウド、ソーシャルネットワーキング、マーケットプレイス、ドメイン、IP番号サービスを提供しているのであれば、ほぼ間違いなく適用範囲内である。たとえ本社がEU域外にあったとしてもです。 世界の年間売上高の2%, enforcement by the authorities of the Member State where your designated establishment or legal representative is located, and serious reputational damage.
この包括的な e-Evidenceコンプライアンス・チェックリスト walks you through the legal, organisational, technical and operational requirements you should evaluate now, so you can identify gaps, prioritise remediation and be demonstrably ready now that the Regulation applies.
EUのe-エビデンス規制とは何か？
Regulation (EU) 2023/1543 — together with its companion Directive (EU) 2023/1544 — establishes a harmonised legal framework that allows competent judicial authorities in one Member State to obtain electronic evidence directly from service providers established or represented in another Member State. It adds a fast, standardised mechanism designed for the realities of cloud-era investigations alongside the slower European Investigation Order and mutual legal assistance procedures.
同規則は2つの中核的な手段を導入している。ひとつは European Production Order プロバイダーは特定の電子データを提出しなければならない。 European Preservation Order compels a provider to preserve data pending a follow-up production request or MLA procedure. Both are transmitted through the EU’s decentralised IT system, whose Member State access points use e-コーデックス, as standardised certificates (EPOC and EPOC-PR forms). You connect through the national system of the Member State where your addressee is located, either through the web-based interface or through an API based on ETSI TS 104 144. Evidence above 25 MB is delivered by secure alternative means with a hash-protected manifest.
e-エビデンス規制の対象者とは？
同規則は意図的に広い網を張っている。以下のサービスのいずれかをEU域内のユーザーに提供している場合は、指定サービス・プロバイダーである可能性が高い：
- 電子通信サービス - テレフォニー、メッセージング、Eメール、VoIP、番号に依存しない対人コミュニケーション。.
- インターネット・ドメイン名およびIP番号サービス - レジストリ、レジストラ、RIR、プライバシー/プロキシサービス、およびDNSプロバイダー。.
- 情報社会サービス ソーシャル・ネットワーク、オンライン・マーケットプレイス、コラボレーション・ツール、コンテンツ・プラットフォームなど、データの保存が決定的な要素となっている。.
- クラウド・コンピューティングとホスティング・プロバイダー - IaaS、PaaS、SaaS、マネージド・ホスティング、コンテンツ・デリバリー・ネットワーク。.
重要なのは、スコープが “「実質的関係」テスト: if EU users can use your service and you target the EU market (for example through localised pricing, language or marketing), you are in scope regardless of where your corporate entity is registered. Non-EU providers must appoint a legal representative in a Member State where they offer services (Directive (EU) 2023/1544).
電子証拠の4分類
規則では4つのデータカテゴリーを区別しており、それぞれに異なる閾値と保護措置が設けられています。データ目録と開示ワークフローは、これらを正確に区別できなければなりません：
- 加入者データ - 身元、連絡先、請求情報、利用したサービスの種類。.
- 利用者を特定することのみを目的として要求されるデータ — IP addresses and, where necessary, source ports and timestamps, requested only to identify a person.
- 交通データ (カテゴリー2以外） - 接続ログ、タイムスタンプ、送信元/送信先、デバイス識別子。.
- コンテンツ・データ - 通信内容、保存ファイル、メッセージ、写真、文書。.
加入者データおよび身分証明データは、あらゆる犯罪に対して要求することができる。トラフィックデータとコンテンツデータは、最高3年の親告罪で処罰される犯罪、または重大なサイバー犯罪、テロリズム、児童性的虐待の犯罪の定義されたリストに予約されています。どのシステムがどのカテゴリを保持しているかをマッピングすることは、最も重要な（そして見落とされがちな）準備ステップの一つです。.
法的・組織的準備
最初の仕事は、正式な スコープ評価. .貴社のどのサービスが同規則に該当するのか、貴社グループ内のどの事業体が命令を受けるのか、どの加盟国が貴社の「施行国」として機能するのかを、理由を添えて文書化する。この評価は、法律顧問またはDPOの署名を受け、毎年見直す。.
Next, designate one of your own EU establishments as the 指定事業所 (if you are established in the EU) or appoint a 法定代理人 in a Member State where you offer services (if you are not), and register them with the competent national authority. In Germany, this is the 連邦司法省（BfJ）; other Member States have equivalent designated authorities. Registration is not a formality — it is the legal address where all orders are served, and in Germany failing to notify, or notifying incorrect details, can be fined up to €500,000.
- 指名された e-Evidenceコンプライアンス・リード 法務、セキュリティ、エンジニアリング、オペレーションの部門横断的な権限を持つ。.
- 建設または保持 法律の専門家 capable of assessing each incoming order for formal defects, immunities or privileges to flag on the Annex III form, possible third-country conflicts (Article 17), and, if enforcement proceedings are started, the objection grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders).
- Build a workflow that recognises EPOCs notified to the enforcing State (traffic and content data) and handles their different timing: transmission at the end of the 10-day window unless a ground for refusal is raised. Integrate it with your case-management tooling.
- Document how you keep orders confidential from the affected user, and how you inform controllers when you act as a processor (Article 5(7)).
- 更新 利用規約、プライバシーに関する通知、法執行ガイドライン 新しい枠組みを反映させる。.
技術インフラの要件
Compliance is impossible without the right technical foundations. Service providers must receive, validate and respond to orders through the EU’s decentralised IT system (e-コーデックス-based), accessed via their Member State’s national system — the workflow that purpose-built tooling such as the ICS e-Evidenceコンプライアンス・プラットフォーム supports, using the standardised EPOC and EPOC-PR certificates. Manual email or fax-based workflows will not meet the regulatory deadlines.
- 安全なインテーク・インターフェース — an authenticated connection to your Member State’s national system (the web-based interface or an API based on ETSI TS 104 144) to receive, acknowledge and time-stamp every order.
- 本人確認と注文確認 - 電子署名、発行機関の認証情報、証明書の完全性、カテゴリの整合性を自動チェックする。.
- データの発見と抽出 - 加入者、識別情報、トラフィック、コンテンツのデータを、関連するすべてのシステムから、数日ではなく数時間以内に探し出すことができるツール。.
- Standardised delivery — delivery through the decentralised IT system (web interface or API) or, where that is not possible, by secure alternative means, with integrity hashes and in formats the issuing authority can process.
- 暗号化された配信チャネル — encrypted transmission of evidence to the requesting authority through the decentralised IT system, with verifiable receipt (evidence above 25 MB goes by secure alternative means with a hash-protected manifest).
- 改ざん防止監査証跡 - 暗号化された署名付きログにより、受入から配達までのすべてのアクションが記録され、証拠としての完全性と事後レビューがサポートされる。.
- 回復力と高可用性 - 24時間365日、8時間の緊急対応に対応できる冗長インフラ。.
- データの最小化と目的制限の管理 - GDPR第5条に従い、特別に注文されたもののみを開示することを保証します。.
業務プロセスと応答時間
同規則は次のことを課している。 厳格で譲れない回答期限 それは、オペレーティング・モデルの設計の原動力となるべきものである：
- 標準的な生産オーダー： データは、以下の時間内に送信されなければならない。 10日 領収書.
- 緊急生産指示： 生命、物理的完全性、または重要なインフラに対する差し迫った脅威がある場合、データは以下の時間内に送信されなければならない。 8時間.
- 保全命令： のためにデータを保存しなければならない。 60日, さらに30日間の延長が可能である。.
このような期限を守るためには、テクノロジーだけでなく、リハーサルされ、文書化されたプロセスが必要です。あなたのオペレーション・プレイブックには、以下のことが書かれているはずです：
- 年中無休のインテークとトリアージ オンコールで対応する弁護士と技術者を指名する。.
- 重症度分類 緊急命令、標準命令、保全命令を区別する。.
- エスカレーション・パス 基本的権利、免責、報道の自由に関する命令や、発行当局が行動していると思われる命令について。 越権.
- 品質保証 お客様の環境からデータが出る前に、4つの目によるレビューを行います。.
- 経費精算トラッキング 国内法がコンプライアンス費用の払い戻しを認めている場合。.
- 卓上エクササイズ 少なくとも年に2回、緊急事態を想定したシミュレーションを行う。.
- 継続的なトレーニング 法務、セキュリティ、カスタマー・サポート、エンジニアリング・スタッフが注文に遭遇する可能性がある場合。.
拒否事由と利用者保護
The Regulation is not a blank cheque for issuing authorities. Where notified, the enforcing authority has specific, limited grounds to refuse an order, including manifest infringements of the Charter of Fundamental Rights and immunities and privileges under its law. Service providers themselves flag immunities, privileges and formal defects on the Annex III form, raise conflicts with the law of a third country through a reasoned objection (the so-called Article 17 review), and can object to enforcement only on the grounds in Article 16(4)(a)–(f) or 16(5)(a)–(e). Building the legal capacity to identify and invoke these grounds quickly is critical, both to protect your users and to limit your own liability.
GDPR、NIS2、DSAとの相互作用
e-エビデンスは単独では存在しない。開示は GDPR (適法性、最小化、処理の記録、DPIAの義務）、「DPIAの義務」、「DPIAの義務」、「DPIAの義務」、「DPIAの義務 NIS2指令 (incident handling and security of network and information systems) and, for intermediary service providers (other than micro and small enterprises), the デジタルサービス法 (transparency reporting on orders from authorities). Your compliance programme should treat e-Evidence as an additional layer woven into existing privacy, security and transparency frameworks rather than a stand-alone silo.
コンプライアンス違反に対する罰則
Member States are required to impose effective, proportionate and dissuasive penalties for breaches of the Regulation. Article 15 requires Member States to make pecuniary penalties of up to プロバイダーの全世界の年間総売上高の2% in the preceding financial year available. In Germany, for example, fines reach €500,000, or up to 2% of turnover for providers with turnover above €25 million. Beyond fines, repeated or systemic failures can result in court orders, reputational damage, customer churn, and — for regulated sectors — knock-on consequences for licences and authorisations.
A Practical 6-Month Remediation Roadmap
- 1-2ヶ月目 - ディスカバリーとギャップ・アセスメント。. 対象範囲の確認、データのマッピング、既存の法執行プロセスの監査、規則の要件に対するベンチマーク。.
- 2-3ヶ月目 - 法的基盤。. 事業所／代表者を指定し、国家機関に登録し、方針を確定し、契約を更新する。.
- 3-4ヶ月目 - テクニカルビルド。. Connect to your Member State’s national system (web-based interface or ETSI TS 104 144 API), implement validation, extraction and delivery tooling, harden audit logging.
- 4-5ヶ月目 - 運用準備。. 対応チームのリクルートと訓練、プレーブックの完成、卓上演習と緊急訓練の実施。.
- 6ヶ月目 - 保証。. Independent compliance audit, board-level sign-off and a go-live rehearsal.
よくある質問
より詳細なリファレンスは e-エビデンス FAQ.
EUのe-エビデンス規制はいつ適用されるのか？
Regulation (EU) 2023/1543 has applied directly in all participating EU Member States (all except Denmark) since 2026年8月18日. There is no further national transposition required for the Regulation itself, although the accompanying Directive (EU) 2023/1544 had to be transposed into national law by 18 February 2026, and many Member States were late.
規制はEU域外のサービスプロバイダーにも適用されますか？
はい。EU域内でサービスを提供するプロバイダーであれば、その設立場所にかかわらず、対象となります。非EU加盟国のプロバイダーは、注文を受領し処理するために、加盟国の法定代理人を任命する必要があります。.
8時間の緊急期限を過ぎたらどうなりますか？
期限に間に合わなかった場合、施行国の管轄当局による強制執行の引き金となる可能性があり、これには全世界の年間売上高の最高2%の行政罰が含まれる。遵守のための文書化された適切な努力と、遅延の原因に関する明確な証拠が、被ばくを軽減するために不可欠である。.
データが要求されたときにユーザーに通知できますか？
No. For a European Production Order, the EPOC states that the addressee must not inform the person whose data are requested. The issuing authority informs them, and it may delay doing so. If you process the data on behalf of another company (as a processor), you must inform that controller unless the order tells you not to.
ICSが準備に役立つ方法
社内で24時間365日の準備態勢を維持できない場合、または単にプログラムが精査に耐えられるという独立した保証が必要な場合、ICSは以下を提供します。 e-Evidenceコンプライアンス評価およびマネージド・オペレーション・サービス. We help you map your scope, close legal and technical gaps, connect to the decentralised IT system, train your response team and, for providers established outside the EU, act as your appointed legal representative.
今すぐICSにご連絡ください e-エビデンス準備アセスメントを予約する and put a clear, defensible remediation plan in place.
