NYDFS Teil 500 – Kryptografie: Was betroffene Unternehmen nun nachweisen müssen

In den vergangenen drei Jahrzehnten spielte die Kryptografie im Finanzdienstleistungssektor meist nur eine untergeordnete Rolle. Sicherheits- und PKI-Teams kümmerten sich still und leise darum, und Compliance-Abteilungen befassten sich nur selten damit. Diese Ära ist vorbei. Die Einhaltung der kryptografischen Vorschriften gemäß NYDFS Part 500 ist nun ein Thema, das Prüfer direkt ansprechen – unter Androhung von Geldstrafen und persönlicher Haftung.

Teil 500 steht nicht für sich allein. Er tritt gemeinsam mit DORA, dem überarbeiteten PCI DSS und einer breiteren Welle präskriptiver kryptografischer Vorschriften in Kraft. Die Regulierungsbehörden bewegen sich weg von weit gefassten Formulierungen wie „angemessene Sicherheitsmaßnahmen“ hin zu präzisen, durchsetzbaren Anforderungen. In New York ist dieser Wandel bereits abgeschlossen: Die zweite Novelle wurde am 1. November 2023 verabschiedet und wird bis zum 1. November 2025 schrittweise umgesetzt. Alle Übergangsfristen sind abgelaufen. Seit dem 1. November 2024 lässt § 500.15 – mit nur wenigen Ausnahmen – keinen Ersatz für die Verschlüsselung nicht öffentlicher Informationen zu, die über externe Netzwerke übertragen werden.

Dieser Leitfaden erläutert, für wen Teil 500 gilt, welche kryptografischen Kontrollmaßnahmen darin genannt werden und welche Nachweise Sie bereits heute vorlegen können sollten.

Was ist NYDFS Teil 500 und für wen gilt er?

NYDFS 23 NYCRR Teil 500 ist die Cybersicherheitsverordnung des New Yorker Finanzdienstleistungsministeriums (NYDFS). Sie legt grundlegende Sicherheitsverpflichtungen für regulierte Finanzdienstleistungsunternehmen fest, wobei Verschlüsselung, Multi-Faktor-Authentifizierung und jährliche Zertifizierung ausdrücklich genannt werden.

Sein Geltungsbereich ist weiter gefasst, als viele Teams erwarten. Teil 500 gilt für jede Organisation, die im Rahmen einer New Yorker Lizenz, Registrierung, Satzung oder einer ähnlichen Genehmigung tätig ist, unabhängig davon, wo sich ihr Hauptsitz befindet oder ob sie auch von anderen Behörden reguliert wird. Der Geltungsbereich richtet sich nach der Lizenz, nicht nach der Adresse.

Ein kurzer Überblick über die Entwicklung der Regelung

Teil 500 wurde erstmals im Jahr 2017 verabschiedet und war die erste umfassende staatliche Cybersicherheitsverordnung für Finanzinstitute. Mit der zweiten Novelle wurde er grundlegend überarbeitet; sie trat am 1. November 2023 in Kraft und wird bis zum 1. November 2025 schrittweise umgesetzt.

Diese schrittweise Einführung ist aus einem Grund von Bedeutung: Sie ist abgeschlossen. Alle Bestimmungen der geänderten Vorschrift sind nun in vollem Umfang in Kraft, sodass kein Spielraum mehr besteht, kryptografische Kontrollmaßnahmen als künftige Aufgabe zu behandeln.

Wer gilt als betroffene Einrichtung?

Ein betroffenes Unternehmen ist jede Bank, jeder Versicherer, jeder zugelassene Kreditgeber oder jedes Kryptowährungsunternehmen, das der Aufsicht der NYDFS unterliegt. Wenn Ihre Organisation über eine New Yorker Lizenz, Registrierung oder Gründungsurkunde verfügt, fällt Teil 500 wahrscheinlich auch für Sie, selbst wenn sich Ihr Hauptsitz in einem anderen Bundesstaat oder Land befindet.

Dieser lizenzbasierte Geltungsbereich überrascht viele Teams. Ein Unternehmen kann seinen Sitz weit entfernt von New York haben und dennoch aufgrund einer einzigen Genehmigung den gesamten Umfang der kryptografischen Verpflichtungen gemäß Teil 500 erfüllen müssen.

Unternehmen der Klasse A und die zusätzliche Hürde

Die größten betroffenen Unternehmen werden als Unternehmen der Klasse A eingestuft und unterliegen strengeren Auflagen. Zusätzlich zu den grundlegenden Verschlüsselungs- und Authentifizierungsanforderungen müssen Unternehmen der Klasse A unabhängige Prüfungen, die Verwaltung privilegierter Zugriffe sowie Maßnahmen zur Erkennung und Reaktion auf Endpunktbedrohungen umsetzen.

Wenn Ihre Einrichtung die Schwellenwerte der Klasse A erfüllt, erwarten die Prüfer neben allen Anforderungen, die an kleinere betroffene Unternehmen gestellt werden, konkrete Nachweise für diese verstärkten Kontrollmaßnahmen.

Warum jetzt mehr auf dem Spiel steht als je zuvor

Die NYDFS hat wegen Verstößen gegen Cybersicherheitsvorschriften Geldstrafen in Höhe von bis zu 30 Millionen Dollar verhängt. Das allein verändert bereits die Diskussion, doch der zweite Verfassungszusatz fügte noch etwas Schärferes hinzu: die persönliche Verantwortung.

Die jährliche Bescheinigung über die Einhaltung der Materialvorschriften muss sowohl vom ranghöchsten Führungskraft des betroffenen Unternehmens als auch von dessen CISO unterzeichnet werden. Sie ist jedes Jahr bis zum 15. April fällig, und die Begleitunterlagen müssen fünf Jahre lang aufbewahrt werden. Durch die doppelte Unterschrift wird der Status der kryptografischen Kontrolle zu einer offiziellen Bestätigung durch zwei namentlich genannte Führungskräfte, die durch fünf Jahre lang aufbewahrte Nachweise untermauert wird. Diese bleibt nicht beim Sicherheitsteam.

Die wesentlichen kryptografischen Anforderungen gemäß NYDFS Teil 500

Teil 500 behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Jeder dieser Bereiche entspricht einem Nachweis, den ein Prüfer überprüfen kann. Die folgenden Unterabschnitte sind nach dem „Answer-First“-Prinzip aufgebaut, sodass sich jede Anforderung leicht herausarbeiten und umsetzen lässt.

§ 500.15: Verschlüsselung nicht öffentlicher Informationen

Gemäß Abschnitt 500.15 müssen nicht öffentliche Informationen sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden. Ist eine Verschlüsselung im Ruhezustand nicht durchführbar, muss der CISO wirksame Ausgleichskontrollen schriftlich genehmigen, und diese Genehmigung muss mindestens einmal jährlich überprüft werden.

Die Verschlüsselung während der Übertragung über externe Netzwerke bietet nicht dieselbe Flexibilität. Da es für Daten, die über externe Netzwerke übertragen werden, keinen Ausgleichsmechanismus gibt, ist die Vorgabe klar: Die Daten müssen verschlüsselt werden.

Abschnitt 500.11: Sicherheit bei externen Dienstleistern

Die betroffenen Unternehmen sind dafür verantwortlich, nicht nur ihre eigenen Cybersicherheitsrisiken, sondern auch die von Dritten zu steuern. Gemäß Abschnitt 500.11 bedeutet dies, dass sie Richtlinien für externe Dienstleister vorlegen müssen, die die Sorgfaltspflicht und vertragliche Schutzmaßnahmen regeln.

Diese vertraglichen Schutzmaßnahmen erstrecken sich auch auf kryptografische Verfahren. Anbieter sollten an Mindestanforderungen an die Sicherheit, Meldepflichten bei Sicherheitsverletzungen sowie Kontrollmaßnahmen in Bezug auf Verschlüsselung und Zugriff – einschließlich der Multi-Faktor-Authentifizierung – gebunden sein. Ihre kryptografische Sicherheit hängt nun von Nachweisen ab, die Sie von den Anbietern einholen können, und nicht mehr nur von Ihrer eigenen Umgebung.

Abschnitt 500.12: Mehrfaktor-Authentifizierung für jeden Systemzugriff

Gemäß § 500.12 ist eine Multi-Faktor-Authentifizierung für jede Person vorgeschrieben, die auf ein Informationssystem zugreift, unabhängig von ihrer Rolle, ihrem Standort oder dem verwendeten Gerät. Seit dem 1. November 2025 gilt diese Vorschrift allgemein und ist nicht mehr auf den Fernzugriff oder den privilegierten Zugriff beschränkt.

Auch die Methode spielt eine Rolle. Die Leitlinien des NYDFS vom Juli 2025 haben die Position des DFS noch verschärft und SMS- sowie Push-basierte Authentifizierung als schwächere Optionen eingestuft, die einer sorgfältigen, risikobasierten Begründung bedürfen. Eine zertifikatsbasierte, phishingresistente MFA bietet Ihnen eine höhere Sicherheit und eine eindeutigere Antwort bei Audits.

Abschnitt 500.7: Befugter Zugriff und Schlüsselverwaltung

Abschnitt 500.7 verknüpft die Verwaltung privilegierter Zugriffsrechte mit der Ausstellung kryptografischer Zugangsdaten. In der Praxis bedeutet dies, dass für die Administratoren, die Schlüssel und Zertifikate ausstellen und verwalten, das Prinzip der geringsten Berechtigungen durchgesetzt wird.

Die Personen, die kryptografische Berechtigungsnachweise ausstellen oder widerrufen können, verfügen über erhebliche Macht über Ihre Vertrauensbasis. Teil 500 sieht vor, dass diese Macht abgegrenzt, kontrolliert und nachgewiesen wird.

§ 500.13: Bestandsaufnahme der Vermögenswerte und Zertifikate

Abschnitt 500.13 schreibt ein vollständiges, genaues und dokumentiertes Verzeichnis der Informationssysteme vor, was ein Bestandsverzeichnis der Vermögenswerte einschließlich Zertifikaten und kryptografischem Schlüsselmaterial mit denselben Anforderungen beinhaltet. Insbesondere muss das Verzeichnis die Zertifikate und Schlüssel umfassen, die Systeme unterstützen, in denen nicht öffentliche Informationen gespeichert sind.

Was man nicht sehen kann, kann man auch nicht schützen oder zertifizieren. Ein aktuelles Bestandsverzeichnis, das mit Systemen für nicht öffentliche Informationen verknüpft ist, bildet die Grundlage, auf der die übrigen kryptografischen Kontrollmaßnahmen beruhen.

Abschnitt 500.8: Sichere Anwendungsentwicklung

Abschnitt 500.8 bindet kryptografische Kontrollmaßnahmen in die sichere Entwicklung ein. Bei internen Anwendungen, die nicht öffentliche Informationen verarbeiten, umfasst dies die Integration von Kontrollmaßnahmen zur Codesignierung in den Entwicklungslebenszyklus.

Die Anforderung erstreckt sich auch nach außen. Betroffene Unternehmen benötigen Verfahren zur Bewertung und Prüfung der Sicherheit extern entwickelter Anwendungen, die sie nutzen, damit Code von Drittanbietern derselben Prüfung unterzogen wird wie interne Entwicklungen.

§ 500.17: Nachweis der jährlichen Zertifizierung

Abschnitt 500.17(b) bildet die Grundlage für die Zertifizierung durch doppelte Unterschrift. Um den unterzeichnenden CEO und CISO zu unterstützen, benötigen die Teams ein umfassendes Nachweispaket zum Status der kryptografischen Kontrollen.

Die Zusammenstellung dieses Pakets sollte nicht jedes Jahr im April zu einer hektischen Angelegenheit werden. Erst eine einheitliche, aktuelle Übersicht über den Status von Verschlüsselung, MFA, Bestandsaufnahme und Zugriffskontrolle macht die Zertifizierung stichhaltig.

Vorbereitung auf die Prüfung: Fragen, die die Prüfer stellen werden

Der beste Weg, um zu prüfen, ob Sie bereit sind, besteht darin, die Fragen so zu beantworten, wie es ein Prüfer tun würde. Wenn Sie jede dieser Fragen heute mit Belegen beantworten können, sind Sie bestens vorbereitet.

• Werden nicht öffentliche Informationen sowohl im Ruhezustand als auch während der Übertragung verschlüsselt, und werden alle vom CISO genehmigten Ausgleichsmaßnahmen dokumentiert und jährlich überprüft? Falls nicht, erfüllen Sie die Voraussetzungen für eine Ausnahmegenehmigung?
• Gilt die MFA seit dem 1. November 2025 für jede Person, die auf ein Informationssystem zugreift? Falls schwächere Verfahren verwendet werden, können Sie dann nachweisen, wo diese zum Einsatz kommen, und dies schriftlich begründen?
• Ihre Bestandsaufnahme 500.13 erfasst die Gültigkeitsdauer von Zertifikaten für Informationssysteme. Kann sie Ihnen anzeigen, auf welche Zertifikate diese Systeme angewiesen sind und wann diese ablaufen?
• Werden Genehmigungen für Ausgleichsmaßnahmen und andere Feststellungen des CISO dokumentiert und mindestens einmal jährlich überprüft?
• Gibt es bei Unternehmen der Klasse A Belege für unabhängige Prüfungen, die Verwaltung privilegierter Zugriffe und die EDR-Abdeckung?
• Werden die Belege für die jährliche Zertifizierung für die vorgeschriebenen fünf Jahre aufbewahrt?

Blick in die Zukunft: Post-Quanten-Bereitschaft am Horizont

Die Arbeit, die Sie im Zusammenhang mit der Zertifikats- und Schlüsselverwaltung gemäß den Abschnitten 500.13 und 500.15 leisten, zahlt sich noch in einer weiteren Hinsicht aus: Sobald die zugrunde liegenden Standards RSA und ECC nicht mehr akzeptieren, gilt dies auch für Abschnitt 500.15. Somit bildet Ihre Arbeit auch die Grundlage für Krypto-Agilität und Post-Quanten-Bereitschaft – eine Richtung, in die mittlerweile fast jedes Framework steuert.

Um es klar zu sagen: Die Post-Quantum-Migration ist derzeit keine Anforderung gemäß Teil 500. Das NIST hat jedoch einen Zeitplan für den Übergang veröffentlicht, wonach die derzeitigen Algorithmen bis zum Jahr 2030 auslaufen sollen, und die Anforderungen an die Bestandsaufnahme, die Sie bereits erfüllen, sind genau das, worauf eine zukünftige Migration abhängt. Die jetzt durchgeführten Bestandsaufnahmen sind mit Terminen für die nächsten Schritte verknüpft.

Wie „ Keyfactor “ bei der Einhaltung der kryptografischen Vorschriften gemäß NYDFS Part 500 hilft

Keyfactor entspricht direkt den oben genannten Kontrollbereichen gemäß Teil 500, sodass Sie jede Anforderung erfüllen und die von den Prüfern erwarteten Nachweise erstellen können.

• Nachweis der jährlichen Zertifizierung (500.17): AgileSec fasst den Status der kryptografischen Kontrollen in einem auditfähigen Paket zusammen.
• Verschlüsselung und zertifikatsbasierte MFA (500.15, 500.12): EJBCA stellt die Zertifikate für die Verschlüsselung und die Phishing-sichere Authentifizierung aus und verwaltet diese.
• Sichere Anwendungsentwicklung (500.8): SignServer integriert Kontrollen zur Codesignierung in Ihre Entwicklungspipeline.
• Privilegierter Zugriff, Schlüsselverwaltung und Bestandsaufnahme (500.7, 500.13): Keyfactor Command bietet kontinuierliche Transparenz über Zertifikate und Schlüssel und sorgt für eine kontrollierte Ausstellung.

Diese Tools sind in der „ Keyfactor Trust Control Plane“ vereint, einem zentralen System, das alle kryptografischen Ressourcen überwacht, analysiert, bereitstellt, koordiniert und verwaltet. Das Ergebnis ist eine zentrale Anlaufstelle, über die sich die von jedem Framework geforderten Nachweise bereitstellen lassen.

Fazit: ein Programm, kein Projekt

Die Einhaltung der Vorschriften gemäß Part 500 ist keine Aufgabe, die man einmal erledigt und dann ad acta legt. Und obwohl diese Vorschrift nicht vorschreibt, welcher Algorithmus zu verwenden ist, schreibt sie vor, dass zwei namentlich genannte Führungskräfte die von Ihnen getroffene Wahl unterzeichnen müssen und dass Sie die Dokumentation fünf Jahre lang aufbewahren müssen. Das ist zwar keine technologische Vorgabe, aber es ist eine Anforderung, dass Sie jederzeit genau wissen müssen, welche Kryptografie Sie tatsächlich einsetzen.

Unternehmen, die ihr System auf diese Weise aufbauen, können jede neue Anforderung leichter umsetzen – ganz gleich, ob es sich dabei um eine staatliche Vorschrift, eine Vorgabe eines Kartennetzwerks oder eine Regierungsverordnung handelt. Die nächste Anforderung trifft auf eine Infrastruktur, die ihr bereits gerecht wird.

Sind Sie bereit herauszufinden, wie gut Sie die Anforderungen von Part 500 erfüllen? Fordern Sie eine Demo an, um Ihre Kryptografie-Transparenz zu bewerten und auditfähige Nachweise zu erstellen.

Haben Sie Fragen zu NYDFS Teil 500? Wir haben die Antworten.

What is NYDFS Part 500?
NYDFS 23 NYCRR Part 500 is the New York Department of Financial Services cybersecurity regulation. It sets security obligations for regulated financial companies, naming encryption, multi-factor authentication, and annual certification directly.

Who has to comply with Part 500?
Banks, insurers, licensed lenders, and virtual currency businesses regulated by NYDFS. Its reach is not tied to a location: any organization operating under a New York license, registration, or charter is covered regardless of where headquarters are or which other regulations they must follow.

Is NYDFS Part 500 fully in effect?
Yes. The Second Amendment took effect November 1, 2023, and phased in through November 1, 2025. Every transition period has passed, so all amended requirements are now fully enforceable.

What does Part 500 require for encryption?
Section 500.15 requires encryption of nonpublic information at rest and in transit. Where encryption at rest is infeasible, the CISO must approve compensating controls in writing and review that approval at least annually.

What are the MFA requirements under Part 500?
Section 500.12 requires multi-factor authentication for any individual accessing any information system. NYDFS’s July 2025 guidance flags SMS and push-based methods as weaker, favoring certificate-based, phishing-resistant MFA.

What is a Class A Company under Part 500?
Class A Companies are the largest covered entities.  They have at least $20M in gross annual revenue in each of the last two fiscal years and either more than 2,000 employees or more than $1B in revenue. Class A companies owe independent audits, privileged access management, and endpoint detection and response — but no additional encryption requirements. §500.15 is identical for every covered entity.

What are the penalties for non-compliance?
NYDFS has levied fines up to $30 million for cybersecurity failures. The rule also adds personal accountability through a dual-signature annual certification signed by the top executive and the CISO.

When is the NYDFS annual certification due?
The Certification of Material Compliance is due April 15 each year. It must be signed by the highest-ranking executive and the CISO, with supporting documentation retained for five yea