Since 18 August 2026, the EU E-Evidence Regulation (Regulation (EU) 2023/1543) has fundamentally changed how digital service providers across Europe handle cross-border law enforcement requests for electronic evidence. Any company offering electronic communications, domain-name or IP-numbering services, or online services that let users communicate or store data in the EU must be prepared to respond to European Production Orders and European Preservation Orders — often within extremely tight deadlines.
犯罪捜査の半数以上が国境を越えたデジタル証拠の提出を求めている現在、この規制は既存の法的枠組みにおける重大なギャップに対処するものである。サービスプロバイダーにとって、法的義務と技術的要件の両方を理解することは、重大な罰則や業務上の混乱を避けるために不可欠である。.
EUのE-エビデンス規制とは何か？
E-Evidenceパッケージは、2023年7月に採択された2つの法的文書で構成されています。すなわち、 電子証拠に関する規則 および電子証拠指令。これらを合わせて、刑事手続における電子証拠への国境を越えたアクセスに関する、EU全域にわたる統一的な枠組みを形成している。.
At its core are two new orders that work alongside, not instead of, the existing judicial-cooperation channels (the European Investigation Order, which can take up to 120 days, and mutual legal assistance, which takes about ten months on average).
European Production Order (transmitted as a European Production Order Certificate, EPOC): A judge, court or (for subscriber and user-identification data) a prosecutor in one Member State can order the designated establishment or legal representative of a provider in another Member State to produce electronic evidence. The provider must respond within 10 days, or within 8 hours in emergency cases.
European Preservation Order (transmitted as an EPOC-PR): A judicial authority can require a service provider to preserve specific data so that it is not deleted before a subsequent request for production (a European Production Order, an EIO or an MLA request) is issued. Preserved data must be retained for 60 days, extendable by a further 30 days, and for as long as necessary once the authority confirms that a production request has been issued.
The regulation entered into force on 17 August 2023. Member States had to transpose the Directive by 18 February 2026, and providers had to designate or appoint their addressee by 18 August 2026, the day the Regulation became applicable. Most Member States were late (in March 2026 the Commission opened infringement proceedings against 22 of them), which affects where and when orders can be served.
誰が影響を受けるのか？
E-エビデンス規制の適用範囲は意図的に広くなっている。本社の所在地にかかわらず、EU域内でデジタル・サービスを提供するすべてのサービス・プロバイダーに適用される。同規則は、影響を受けるプロバイダーを以下のように定義している：
- 電子通信サービス・プロバイダー - 固定回線、携帯電話、衛星通信事業者、VoIPサービス、電子メール・プロバイダー、WhatsAppやTelegramなどのメッセージング・プラットフォームなど
- インターネット・ドメイン名およびIP番号サービス・プロバイダー
- その他の情報社会サービス - クラウドコンピューティングプロバイダー、メッセージング機能を持つオンラインプラットフォーム（eBay、Vinted、またはゲームプラットフォームなど）、およびデータの保存または処理が重要なコンポーネントであるあらゆるサービスを含む。
There is no size exemption. Small and micro-enterprises are equally subject to the regulation if they offer qualifying services in the EU, although providers established in and serving only one Member State do not need to designate an addressee under the Directive, and SMEs can use the free web-based interface (built by the Commission and offered by the Member State) instead of building their own connection. Indicators that a service targets the EU market include having an establishment in the EU, availability in national app stores, local advertising, or offering customer support in a member state language.
Every in-scope provider must name an addressee for orders: EU-established providers designate one of their establishments (a ‘designated establishment’), and providers established outside the EU appoint a 法定代理人 in a Member State where they offer services (Directive (EU) 2023/1544). Each provider must also notify the addressee’s contact details and languages to the central authority of the Member State where the addressee is located (in Germany, the Federal Office of Justice).
どのようなデータを要求できるか？
The regulation distinguishes four categories of electronic evidence that can be requested. The regulation does not create any data-retention obligation; it covers only data you already hold when the order arrives.
- 加入者データ： 氏名、生年月日、住所、連絡先、サービスの種類と期間に関する詳細などの本人確認情報
- Data requested for the sole purpose of identifying the user: IP addresses with source ports and timestamps, which are treated like subscriber data
- 交通データ： メッセージの発信元と宛先、デバイスの位置、フォーマット、使用されたプロトコルを含む、サービスに関するメタデータ
- コンテンツデータ： テキストメッセージ、画像、動画、ファイルなど、本サービスによって保存または処理されたその他のすべてのデジタルデータ
For traffic data (other than data requested only to identify the user) and content data, the issuing authority must also notify the enforcing authority of the Member State where your designated establishment or legal representative is located, unless the offence and the person concerned are both in the issuing State. In standard cases you transmit at the end of the 10-day period unless the enforcing authority raises a ground for refusal. In emergencies you still transmit within 8 hours, and the enforcing authority can object within 96 hours, after which the data may have to be deleted or used only under conditions.
技術的・経営的課題
多くのサービス・プロバイダーにとって、E-Evidence規制は、これまで対処してきたものをはるかに超える業務要件を導入するものである。緊急時には最短8時間という厳しい対応期限は、最初の注文が届く前に、プロバイダーに堅牢なプロセスとシステムを導入することを要求する。.
主な技術的・経営的課題は以下の通り：
- 迅速な注文受付と検証： プロバイダーは、構造化され、標準化されたフォーマットで受信オーダーを受信、認証、検証できなければならない。
- 時間的プレッシャーの中での法的評価： Each order needs a quick legal check: is it complete and correct, could immunities or privileges apply, or would it conflict with third-country law? Any of these must be reported to the issuing authority on the Annex III form within the deadline.
- データの識別と抽出： 要求されたデータは、安全な方法で探し出され、抽出され、送信のために準備されなければならない。
- 安全な通信チャネル： Since 18 August 2026, communication must go through the EU’s decentralised IT system (built on e-CODEX). Providers connect through the national system of the Member State where their designated establishment or legal representative is located: either manually through the web-based interface or automatically through an API based on ETSI TS 104 144. Most Member States are not yet connected: on 29 September 2026 the Commission listed only Germany and Ireland as technically ready to receive orders through the system. Until the others are, orders can arrive by secure alternative means (Article 19(5)), so your intake process must handle both
- 執行当局との調整： 各国当局への通知が必要な場合、プロバイダーは並行するスケジュールと異議申立手続きの可能性を管理する必要がある。
- 機密性と完全性： プロバイダーは、注文とデータの両方の機密性と完全性を保護するために、最先端の技術的・組織的対策を実施しなければならない。
- 監査証跡と文書化： 規制遵守や法的手続きの可能性を考慮すると、実行されたすべてのアクションの完全なトレーサビリティが不可欠です。
Non-compliance carries severe consequences. Member States must be able to fine providers up to 2% of total worldwide annual turnover of the preceding financial year for failing to execute orders or to protect their confidentiality and integrity; failing to designate an addressee is penalised separately under national law.
Problems With an Order and Grounds for Refusal
The regulation does not let a provider simply refuse an order. If an EPOC is incomplete or contains manifest errors, if compliance is de facto impossible, or if the data may be protected by immunities or privileges in the enforcing State, the provider must notify the issuing authority (and the enforcing authority, where it was notified) without undue delay using the Annex III form. The authorities then decide. Formal grounds for refusal (Article 12) belong to the enforcing authority. A provider can only object on the grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders), once enforcement proceedings have begun.
Providers may also raise objections when compliance would conflict with obligations under the law of a third country. In such cases, the provider must submit a reasoned objection using the official form (Annex III of the regulation), detailing the conflicting legal obligations, no later than 10 days after receiving the EPOC; execution is suspended while a court in the issuing State reviews it.
However, assessing these points under extreme time pressure — especially in emergency cases with an 8-hour deadline — is practically impossible without pre-established processes and, in many cases, external legal support.
インプリメンテーション準備の仕方
The Regulation has applied since 18 August 2026, so providers that are not yet ready should act now. A structured implementation approach should include the following steps:
- 適用可能性を評価する： EU域内で提供するサービスに基づいて、自組織が規制の適用範囲に含まれるかどうかを判断する。
- 責任を指定する： 欧州生産指示書および保存指示書の処理に関する社内の所有権を割り当てる。
- 対応プロセスを開発する： 緊急依頼のエスカレーション手順を含め、注文の受領、検証、対応に関する文書化されたワークフローを作成する。
- 技術インフラの導入 必要な期間内に、システムが関連するデータ・カテゴリーを特定、抽出、安全に送信できるようにすること。
- Connect to the decentralised IT system: Connect through your Member State’s national system, either via the web-based interface or an API based on ETSI TS 104 144, and keep a process for orders that arrive by alternative means while national components are not yet live
- 法的審査能力を確立する： Ensure access to legal expertise — either in-house or through external counsel — for rapid assessment of incoming orders and of any problems that must be reported on the Annex III form
- テストとドリル： 現実的な条件下で、組織が10日間および8時間の対応期限を守れるかどうかを検証するための準備演習を実施する。
多くの企業、特に専任のコンプライアンス部門や法務部門を持たない中小のサービス・プロバイダーにとって、これらの要件を社内で満たすことは現実的ではなく、費用対効果も高くない。.
ICSがサービス・プロバイダーのEエビデンス義務達成を支援する方法
ICS（国際Carrierサービス）の専門分野 lawful interception, data retention, and regulatory compliance solutions for communication service providers, digital platforms, and other regulated entities across Europe. With deep expertise in ETSI standards, cross-border disclosure processes, and law enforcement interfaces, ICS is uniquely positioned to help organizations navigate the E-Evidence Regulation.
ICSはサービスプロバイダを以下の点でサポートする：
- 権威インターフェイスの実装： ICS designs, deploys, and operates authority-facing interfaces that enable structured, automated processing of European Production Orders and Preservation Orders — aligned with ETSI TS 104 144 and the requirements of the E-Evidence Regulation
- エンド・ツー・エンドの注文管理 From intake and validation through data extraction and secure handover, ICS manages the operational lifecycle of incoming orders on behalf of the service provider, working with the provider’s qualified legal counsel where a legal assessment is required
- 既存システムとの統合： ICSソリューションは、プロバイダーの既存のインフラやデータ管理環境と統合することで、混乱を最小限に抑えながら、コンプライアンスに対応したデータ配信を実現する。
- コンプライアンス・コンサルティング: ICSは、サービスプロバイダが規制上の義務を評価し、準拠するプロセスを設計し、監査に備えるための専門的なアドバイザリーサービスを提供します。
- マネージド・サービス業務： ICSは、運用負担を完全にアウトソーシングすることを希望するプロバイダー向けに、外部の信頼できるパートナーとして、当局との通信、データ配信、コンプライアンス文書作成を行うフルマネージドサービスを提供しています。
By partnering with a specialist provider like ICS, service providers can reduce the risk of non-compliance, avoid the need to build complex internal capabilities from scratch, and handle cross-border evidence requests correctly now that the Regulation applies.
結論
EU E-Evidence規則は、欧州におけるデジタルデータへの国境を越えた法執行機関のアクセス方法を大きく変えるものである。サービスプロバイダーにとって、この規則は、厳しい期限と、違反した場合の重大な罰則を伴う拘束力のある義務を導入している。.
The Regulation has applied since 18 August 2026. Providers that have not yet designated an addressee or set up order handling should do so now. The technical, legal, and operational requirements are substantial — but they are manageable with the right partner and the right infrastructure in place.
Contact ICS to discuss how we can help your organization meet the requirements of the EU E-Evidence Regulation.
関連記事
関連トピックについては、以下の記事を参照されたい：
外部リソース
以下の外部リソースは、さらなる背景と公式文書を提供している：
