Durante la mayor parte de las últimas tres décadas, la criptografía ha permanecido en un segundo plano en el sector de los servicios financieros. Los equipos de seguridad y de infraestructura de clave pública (PKI) se encargaban de ella discretamente, y los departamentos de cumplimiento normativo rara vez se ocupaban de ella. Esa época ha terminado. El cumplimiento normativo en materia de criptografía según la Parte 500 del NYDFS es ahora una cuestión que los inspectores plantean directamente, respaldada por multas y responsabilidad personal.
La Parte 500 no avanza en solitario. Llega de la mano de la DORA, la norma PCI DSS modificada y una oleada más amplia de normativa criptográfica prescriptiva. Los reguladores están pasando de un lenguaje general, como «medidas de seguridad adecuadas», a requisitos precisos y exigibles. En Nueva York, ese cambio ya se ha completado: la Segunda Enmienda se adoptó el 1 de noviembre de 2023 y se aplicará gradualmente hasta el 1 de noviembre de 2025. Todos los períodos de transición han concluido. Desde el 1 de noviembre de 2024, el artículo §500.15 no permite ninguna alternativa al cifrado de la información no pública que se transmite a través de redes externas, salvo contadas excepciones.
Esta guía explica a quiénes se aplica la Parte 500, los controles criptográficos que en ella se mencionan y las pruebas que deberías poder presentar en la actualidad.
Qué es la Parte 500 del NYDFS y a quiénes se aplica
La norma NYDFS 23 NYCRR, parte 500, es la normativa sobre ciberseguridad del Departamento de Servicios Financieros de Nueva York. En ella se establecen las obligaciones básicas en materia de seguridad para las empresas de servicios financieros reguladas, mencionándose expresamente el cifrado, la autenticación multifactorial y la certificación anual.
Su ámbito de aplicación es más amplio de lo que muchos equipos esperan. La Parte 500 se aplica a cualquier organización que opere con una licencia, un registro, una carta constitutiva o una autorización similar de Nueva York, independientemente de dónde tenga su sede o de si también está regulada por otros organismos públicos. El ámbito de aplicación viene determinado por la licencia, no por la dirección.
Breve historia de la normativa
La Parte 500 se promulgó por primera vez en 2017 y fue la primera normativa estatal integral en materia de ciberseguridad para las entidades financieras. La segunda enmienda la reformuló sustancialmente; entró en vigor el 1 de noviembre de 2023 y su aplicación se fue introduciendo gradualmente hasta el 1 de noviembre de 2025.
Esa implantación por fases es importante por una razón: ya ha concluido. Todas las disposiciones de la norma modificada están ya plenamente en vigor, por lo que ya no queda margen para considerar ningún control criptográfico como una tarea pendiente.
¿Quién se considera una entidad sujeta a la normativa?
Una entidad sujeta a la normativa es cualquier banco, aseguradora, entidad de crédito autorizada o empresa dedicada a las monedas virtuales regulada por el NYDFS. Si tu organización cuenta con una licencia, un registro o una autorización de Nueva York, es probable que la Parte 500 te sea de aplicación, incluso si tu sede central se encuentra en otro estado o país.
Este ámbito de aplicación basado en las licencias es lo que sorprende a muchos equipos. Una empresa puede tener su sede lejos de Nueva York y, aun así, estar sujeta a todas las obligaciones criptográficas de la Parte 500 debido a una única autorización.
Las empresas de clase A y el requisito adicional
Las entidades afectadas de mayor envergadura se denominan «empresas de clase A» y deben cumplir con una serie de requisitos más exigentes. Además de los requisitos básicos de cifrado y autenticación, las empresas de clase A deben someterse a auditorías independientes, gestionar el acceso privilegiado e implementar sistemas de detección y respuesta en los terminales.
Si su entidad cumple los umbrales de la Clase A, los inspectores esperarán pruebas concretas de estos controles reforzados, además de todo lo exigido a las entidades reguladas de menor tamaño.
Por qué hay más en juego que nunca
El NYDFS ha impuesto multas de hasta 30 millones de dólares por incumplimientos en materia de ciberseguridad. Eso por sí solo cambia el discurso, pero la Segunda Enmienda añadió un elemento aún más contundente: la responsabilidad personal.
La Certificación anual de cumplimiento de los requisitos materiales debe estar firmada tanto por el máximo responsable de la entidad afectada como por su CISO. El plazo de presentación vence el 15 de abril de cada año, y la documentación justificativa debe conservarse durante cinco años. La doble firma convierte el estado del control criptográfico en algo que dos directivos designados certifican oficialmente, respaldado por cinco años de pruebas conservadas. No queda en manos del equipo de seguridad.
Los requisitos criptográficos fundamentales de la Parte 500 del NYDFS
La Parte 500 aborda la criptografía a través de varias áreas de control interrelacionadas. Cada una de ellas se corresponde con un elemento de prueba que el examinador puede comprobar. Las subsecciones que figuran a continuación siguen una estructura en la que se presenta primero la respuesta, de modo que resulte fácil extraer cada requisito y actuar en consecuencia.
Artículo 500.15: cifrado de la información no pública
El artículo 500.15 exige el cifrado de la información no pública, tanto en reposo como en tránsito. Cuando el cifrado en reposo no sea viable, el CISO deberá aprobar por escrito controles compensatorios eficaces, y dicha aprobación deberá revisarse al menos una vez al año.
El cifrado en tránsito a través de redes externas no ofrece la misma flexibilidad. No existe una vía de control compensatoria para los datos que circulan por redes externas, por lo que la expectativa es clara: hay que cifrarlos.
Artículo 500.11: Seguridad de los proveedores de servicios externos
Las entidades afectadas son responsables de gestionar los riesgos de ciberseguridad de terceros, y no solo los propios. Según el artículo 500.11, esto implica contar con políticas para los proveedores de servicios externos que aborden la diligencia debida y las garantías contractuales.
Esas garantías contractuales se extienden a las prácticas criptográficas. Se debe exigir a los proveedores que cumplan unos requisitos mínimos de seguridad, obligaciones de notificación de infracciones y controles que abarquen el cifrado y el acceso, incluida la autenticación multifactorial. Tu garantía criptográfica depende ahora de las pruebas que puedas obtener de los proveedores, y no solo de tu propio entorno.
Sección 500.12: autenticación multifactorial para todos los accesos al sistema
El artículo 500.12 exige la autenticación multifactorial para cualquier persona que acceda a cualquier sistema de información, independientemente de su función, ubicación o dispositivo. Desde el 1 de noviembre de 2025, esta obligación es universal y no se limita al acceso remoto ni al acceso privilegiado.
El método también es importante. Las directrices del NYDFS de julio de 2025 reforzaron la postura del DFS, señalando que la autenticación mediante SMS y notificaciones push son opciones menos seguras que requieren una justificación cuidadosa basada en el riesgo. La autenticación multifactorial (MFA) basada en certificados y resistente al phishing te ofrece una mayor seguridad y una respuesta de auditoría más clara.
Sección 500.7: Acceso privilegiado y custodia de claves
El artículo 500.7 vincula la gestión del acceso privilegiado a la emisión de credenciales criptográficas. En la práctica, esto implica aplicar el principio del privilegio mínimo a los administradores que emiten y gestionan claves y certificados.
Las personas que pueden emitir o revocar credenciales criptográficas tienen un poder significativo sobre tu base de confianza. La norma 500 exige que dicho poder esté delimitado, controlado y documentado.
Artículo 500.13: inventario de activos y certificados
El artículo 500.13 exige un inventario completo, preciso y documentado de los sistemas de información, lo que implica un inventario de activos que incluya certificados y material de claves criptográficas con los mismos requisitos. En concreto, el inventario debe abarcar los certificados y las claves que dan soporte a los sistemas que contienen información no pública.
No se puede proteger ni certificar lo que no se ve. Un inventario actualizado vinculado a los sistemas de información no pública constituye la base sobre la que se asientan los demás controles criptográficos.
Sección 500.8: desarrollo seguro de aplicaciones
La sección 500.8 integra los controles criptográficos en el desarrollo seguro. En el caso de las aplicaciones internas que procesan información no pública, esto incluye la integración de controles de firma de código en el ciclo de vida del desarrollo.
Este requisito también se extiende al ámbito externo. Las entidades afectadas deben contar con procedimientos para evaluar y comprobar la seguridad de las aplicaciones desarrolladas externamente que utilizan, de modo que el código de terceros sea sometido al mismo escrutinio que las aplicaciones desarrolladas internamente.
Artículo 500.17: pruebas de certificación anual
El artículo 500.17(b) sirve de base para la certificación mediante doble firma. Para respaldar al director general y al director de seguridad de la información que firman, los equipos necesitan un conjunto consolidado de pruebas sobre el estado de los controles criptográficos.
La preparación de ese paquete no debería convertirse en una carrera de última hora cada mes de abril. Lo que hace que la certificación sea defendible es disponer de una visión única y actualizada del estado del cifrado, la autenticación multifactorial, el inventario y el control de acceso.
Prepararse para la auditoría: preguntas que plantearán los auditores
La forma más clara de comprobar si estás preparado es responder a las preguntas tal y como lo haría un examinador. Si hoy mismo puedes responder a cada una de ellas, aportando pruebas, vas por muy buen camino.
- ¿Se cifra la información no pública tanto en reposo como en tránsito, y se documentan y revisan anualmente los controles compensatorios aprobados por el CISO? En caso negativo, ¿cumples los requisitos para acogerte a una exención?
- Desde el 1 de noviembre de 2025, ¿se exige el uso de la autenticación multifactorial (MFA) a todas las personas que accedan a cualquier sistema de información? En caso de utilizar métodos menos seguros, ¿se puede indicar dónde se utilizan y justificarlo por escrito?
- Tu registro de inventario 500.13 recoge las fechas de caducidad de los sistemas de información. ¿Te permite saber de qué certificados dependen esos sistemas y cuándo caducan?
- ¿Se documentan y se revisan, al menos una vez al año, las autorizaciones de controles compensatorios y otras decisiones del CISO?
- En el caso de las empresas de clase A, ¿hay pruebas de que se hayan realizado auditorías independientes, de que se gestione el acceso privilegiado y de que se disponga de cobertura EDR?
- ¿Se conservan los documentos justificativos de la certificación anual durante los cinco años exigidos?
De cara al futuro: la preparación para la era poscuántica se vislumbra en el horizonte
El trabajo de gestión de certificados y claves que realizas para las secciones 500.13 y 500.15 tiene una segunda ventaja. Cuando las normas a las que hace referencia dejen de aceptar RSA y ECC, la sección 500.15 también dejará de aceptarlas. Por lo tanto, tu trabajo también constituye la base para la «criptoagilidad» y la preparación para la era poscuántica, la dirección hacia la que se encaminan ahora casi todos los marcos de trabajo.
Para que quede claro, la migración poscuántica no es actualmente un requisito de la Parte 500. Sin embargo, el NIST ha publicado un calendario de transición que prevé la obsolescencia de los algoritmos actuales de aquí a 2030, y los requisitos de inventario que ya estás cumpliendo son precisamente de lo que dependerá la migración futura. El trabajo de inventario que se realice ahora tiene fechas asociadas a lo que vendrá después.
Cómo ayuda « Keyfactor » a cumplir con los requisitos criptográficos de la Parte 500 del NYDFS
Keyfactor se corresponde directamente con las áreas de control de la Parte 500 mencionadas anteriormente, por lo que podrás cumplir cada uno de los requisitos y aportar las pruebas que esperan los examinadores.
- Pruebas de certificación anual (500.17): AgileSec recopila el estado de los controles criptográficos en un paquete listo para la auditoría.
- Cifrado y autenticación multifactorial (MFA) basada en certificados (500.15, 500.12): EJBCA emite y gestiona los certificados que sustentan el cifrado y la autenticación resistente al phishing.
- Desarrollo seguro de aplicaciones (500.8): SignServer integra controles de firma de código en su proceso de desarrollo.
- Acceso privilegiado, custodia de claves e inventario (500.7, 500.13): Keyfactor Command proporciona una visibilidad continua de los certificados y las claves y garantiza una emisión controlada.
Todas estas herramientas se integran en el « Keyfactor Trust Control Plane», un único sistema de registro que supervisa, analiza, aprovisiona, coordina y gestiona todos los activos criptográficos. El resultado es un único lugar desde el que se puede generar la documentación que requiera cualquier marco normativo.
Conclusión: un programa, no un proyecto
El cumplimiento de la Parte 500 no es una tarea que se realice una sola vez y luego se archive. Y aunque esta normativa no especifica qué algoritmo se debe utilizar, sí establece que dos directivos designados deberán dar su visto bueno a la opción elegida y que la documentación deberá conservarse durante cinco años. No se trata de una prescripción tecnológica; sin embargo, sí es un requisito que te obliga a saber, de forma continua, en qué consiste realmente tu sistema de criptografía.
Las instituciones que se estructuran de esta manera asimilan cada nuevo requisito con mayor facilidad, ya sea una norma estatal, una exigencia de una red de tarjetas o un decreto ejecutivo. El siguiente requisito se aplica a una infraestructura que ya está preparada para ello.
¿Estás listo para saber cómo te sitúas con respecto a la Parte 500? Solicita una demostración para evaluar tu visibilidad criptográfica y recopilar pruebas válidas para una auditoría.
¿Tienes dudas sobre la Parte 500 del NYDFS? Tenemos las respuestas.
¿Qué es la Parte 500 del NYDFS?
La Parte 500 del 23 NYCRR del NYDFS es la normativa sobre ciberseguridad del Departamento de Servicios Financieros de Nueva York. Establece las obligaciones en materia de seguridad para las entidades financieras reguladas, mencionando expresamente el cifrado, la autenticación multifactorial y la certificación anual.
¿Quién debe cumplir con la Parte 500?
Bancos, aseguradoras, entidades de crédito autorizadas y empresas de monedas virtuales reguladas por el NYDFS. Su ámbito de aplicación no está limitado a una ubicación concreta: cualquier organización que opere con una licencia, un registro o una carta constitutiva de Nueva York queda incluida, independientemente de dónde se encuentre su sede central o de qué otras normativas deba cumplir.
¿Está la Parte 500 del NYDFS plenamente en vigor?
Sí. La Segunda Enmienda entró en vigor el 1 de noviembre de 2023 y se aplicó de forma gradual hasta el 1 de noviembre de 2025. Todos los períodos de transición han finalizado, por lo que todos los requisitos modificados son ahora plenamente exigibles.
¿Qué exige la Parte 500 en materia de cifrado?
La sección 500.15 exige el cifrado de la información no pública tanto en reposo como en tránsito. Cuando el cifrado en reposo no sea viable, el CISO deberá aprobar por escrito los controles compensatorios y revisar dicha aprobación al menos una vez al año.
¿Cuáles son los requisitos de autenticación multifactorial (MFA) establecidos en la Parte 500?
La sección 500.12 exige la autenticación multifactorial para cualquier persona que acceda a un sistema de información. Las directrices del NYDFS de julio de 2025 señalan que los métodos basados en SMS y notificaciones push son menos seguros, y dan preferencia a la autenticación multifactorial basada en certificados y resistente al phishing.
¿Qué es una empresa de clase A según la Parte 500?
Las empresas de clase A son las entidades reguladas de mayor tamaño. Tienen unos ingresos brutos anuales de al menos 20 millones de dólares en cada uno de los dos últimos ejercicios fiscales y, o bien cuentan con más de 2.000 empleados, o bien tienen unos ingresos superiores a 1.000 millones de dólares. Las empresas de clase A están obligadas a realizar auditorías independientes, a gestionar el acceso privilegiado y a disponer de sistemas de detección y respuesta en los terminales, pero no tienen que cumplir requisitos adicionales de cifrado. El artículo §500.15 es idéntico para todas las entidades afectadas.
¿Cuáles son las sanciones por incumplimiento?
El NYDFS ha impuesto multas de hasta 30 millones de dólares por fallos en materia de ciberseguridad. La normativa también introduce la responsabilidad personal mediante una certificación anual con doble firma, firmada por el máximo responsable ejecutivo y el CISO.
¿Cuándo vence el plazo para presentar la certificación anual del NYDFS?
La «Certificación de cumplimiento sustancial» debe presentarse antesdel 15 de abril de cada año. Debe estar firmada por el máximo responsable ejecutivo y el CISO, y la documentación justificativa debe conservarse durante cinco años.
