NYDFS 23 NYCRR Teil 500:
Kryptografie für regulierte Finanzdienstleistungsunternehmen
| Region | Der Staat New York wendet seine Vorschriften extraterritorial auf jede Organisation an, die im Rahmen einer Lizenz, Registrierung, Gründungsurkunde oder einer ähnlichen Genehmigung tätig ist, unabhängig davon, wo sich ihr Hauptsitz befindet. |
| Anwendbarkeit | Betroffene Unternehmen: Banken , Versicherer, zugelassene Kreditgeber und Unternehmen im Bereich virtueller Währungen, die vom New Yorker Finanzdienstleistungsamt reguliert werden Unternehmen der Klasse A: die größten betroffenen Unternehmen, die unabhängigen Prüfungen, einer Verwaltung mit privilegiertem Zugriff sowie Anforderungen an die Erkennung und Reaktion auf Endpunktbedrohungen unterliegen Leitungsgremium und CISO: persönlich haftbar durch die jährliche Zertifizierung mit doppelter Unterschrift |
| Relevante Abschnitte | § 500.15: Verschlüsselung nicht öffentlicher Informationen § 500.12: Multi-Faktor-Authentifizierung § 500.17: Benachrichtigung und jährliche Bescheinigung der wesentlichen Einhaltung der Vorschriften |
Übersicht
Die NYDFS-Verordnung zur Cybersicherheit, die erstmals im Jahr 2017 erlassen wurde, wurde durch die zweite Novelle, die am 1. November 2023 in Kraft trat und bis zum 1. November 2025 schrittweise umgesetzt wurde, grundlegend überarbeitet. Alle Übergangsfristen sind nun abgelaufen, und die geänderten Anforderungen sind in vollem Umfang durchsetzbar.
Abschnitt 500.15 schreibt die Verschlüsselung nicht öffentlicher Informationen sowohl im Ruhezustand als auch während der Übertragung vor. Ist eine Verschlüsselung nicht durchführbar, muss der CISO wirksame Ausgleichskontrollen schriftlich genehmigen, und diese Genehmigung muss mindestens einmal jährlich überprüft werden. Abschnitt 500.12 schreibt nun eine Multi-Faktor-Authentifizierung für jede Person vor, die auf ein Informationssystem zugreift, unabhängig von ihrer Rolle, ihrem Standort oder ihrem Gerät, wobei die Leitlinien des NYDFS vom Juli 2025 insbesondere die SMS- und Push-basierte Authentifizierung als schwächere Optionen hervorheben, die eine sorgfältige risikobasierte Begründung erfordern.
Warum das wichtig ist
Das NYDFS hat wegen Verstößen gegen die Cybersicherheitsvorschriften Geldbußen in Höhe von bis zu 30 Millionen US-Dollar verhängt, und mit der zweiten Novelle wurde eine persönliche Haftung eingeführt: Die jährliche Bescheinigung über die wesentliche Einhaltung der Vorschriften muss sowohl vom ranghöchsten leitenden Angestellten des betroffenen Unternehmens als auch von dessen CISO unterzeichnet werden; sie ist jeweils bis zum 15. April fällig und muss durch Unterlagen belegt werden, die fünf Jahre lang aufzubewahren sind.
Unternehmen der Klasse A, die größten regulierten Einrichtungen, unterliegen zusätzlich zu den grundlegenden Verschlüsselungs- und Authentifizierungsanforderungen, die für alle betroffenen Einrichtungen gelten, weiteren Verpflichtungen, darunter unabhängige Prüfungen, die Verwaltung privilegierter Zugriffe sowie die Erkennung und Reaktion auf Sicherheitsvorfälle an Endgeräten.
Wie sich dies auf die Kryptografie auswirkt
NYDFS 23 NYCRR Teil 500 regelt den Bereich der Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:
| Abschnitt | Funktion | Was dort steht | Unterstützung für „ Keyfactor “-Produkte |
| § 500.15 | Verschlüsselung nicht öffentlicher Informationen | Verschlüsselung nicht öffentlicher Informationen im Ruhezustand und während der Übertragung; sofern eine Verschlüsselung nicht durchführbar ist, sind vom CISO genehmigte Ausgleichsmaßnahmen zu dokumentieren und mindestens einmal jährlich zu überprüfen. | EJBCA |
| § 500.12 | MFA für den Zugriff auf alle Systeme | Zertifikatsbasierte, phishingresistente Multi-Faktor-Authentifizierung für jede Person, die auf ein Informationssystem zugreift, womit den Leitlinien der NYDFS Rechnung getragen wird, wonach SMS- und Push-basierte Methoden bekannte Schwachstellen aufweisen. | EJBCA |
| § 500.7 | Privilegierter Zugriff und Schlüsselverwaltung | Verwaltung privilegierter Zugriffsrechte in Verbindung mit der Ausstellung kryptografischer Zugangsdaten, wodurch das Prinzip der geringsten Berechtigungen für Administratoren von Schlüsseln und Zertifikaten durchgesetzt wird. | Keyfactor Command |
| § 500.13 | Bestandsaufnahme von Vermögenswerten und Zertifikaten | Die Bestandsaufnahme der Vermögenswerte wurde auf Zertifikate und kryptografisches Schlüsselmaterial ausgeweitet, die Systeme unterstützen, in denen nicht öffentliche Informationen gespeichert sind. | Keyfactor Command |
| § 500.8 | Sichere Anwendungsentwicklung | In sichere Entwicklungsverfahren integrierte Kontrollen zur Code-Signierung für interne Anwendungen, die nicht öffentliche Informationen verarbeiten. | SignServer |
| § 500.17 Buchstabe b | Nachweis der jährlichen Zertifizierung | Ein umfassendes Nachweispaket zum Status der kryptografischen Kontrollen, das die Zertifizierung durch die doppelte Unterschrift des CEO und des CISO untermauert. | AgileSec |
Prüfungsbereitschaft
Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:
- Verschlüsselungsumfang und Ausgleichskontrollen: Werden nicht öffentliche Informationen sowohl im Ruhezustand als auch während der Übertragung verschlüsselt, wobei alle vom CISO genehmigten Ausgleichskontrollen dokumentiert und jährlich überprüft werden?
- Allgemeine MFA-Pflicht: Wird seit dem 1. November 2025 die MFA für jede Person, die auf ein Informationssystem zugreift, durchgesetzt, wobei schwächere Verfahren nur dann zulässig sind, wenn dies schriftlich als risikogerechtfertigt begründet wird?
- Zertifikats- und Schlüsselverzeichnis in Verbindung mit NPI-Systemen: Werden in dem gemäß § 500.13 vorgeschriebenen Bestandsverzeichnis die Zertifikate und Schlüssel aufgeführt, die nicht öffentliche Informationen schützen?
- Schriftliche Genehmigungen des CISO: Werden Genehmigungen für Ausgleichskontrollen und andere Feststellungen des CISO dokumentiert und mindestens einmal jährlich überprüft?
- Verstärkte Kontrollmaßnahmen der Klasse A: Gibt es bei Unternehmen der Klasse A Belege für unabhängige Audits, die Verwaltung privilegierter Zugriffe und die Abdeckung durch EDR-Lösungen?
- Aufbewahrung der Zertifizierungsunterlagen: Werden die Belege für die jährliche Zertifizierung für die vorgeschriebenen fünf Jahre aufbewahrt?
LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER
Alle Übergangsfristen gemäß dem Second Amendment sind am 1. November 2025 abgelaufen. Es gibt keine verbleibende Nachfrist mehr: Die Verschlüsselung nicht öffentlicher Informationen, die flächendeckende MFA sowie die jährliche Zertifizierung durch doppelte Unterschrift sind nun vollständig durchsetzbar, und das NYDFS hat bereits Geldstrafen in Höhe von bis zu 30 Millionen US-Dollar gegen Organisationen verhängt, die diesen Anforderungen nicht nachgekommen sind.
Die Zertifizierung selbst birgt ein persönliches Risiko für unseren CEO und unseren CISO. Bevor einer von beiden unterzeichnet, benötigen wir Unterlagen, aus denen hervorgeht, wo nicht öffentliche Informationen verschlüsselt sind, wo eine vom CISO genehmigte Ersatzkontrolle anstelle der Verschlüsselung zum Einsatz kommt und dass unsere MFA-Abdeckung lückenlos ist – und zwar in einer Form, die wir einem DFS-Prüfer ohne Vorankündigung vorlegen können.
Zugehörige Compliance-Vorgaben
Post-Quanten-Bereitschaft für den Finanzdienstleistungssektor
GLBA-Sicherheitsvorschrift: Kryptografie für Nichtbank-Finanzinstitute
