Partie 500 du NYDFS relative à la cryptographie : ce que les entités concernées doivent désormais prouver

Pendant la majeure partie des trois dernières décennies, la cryptographie est restée en retrait dans le secteur des services financiers. Les équipes chargées de la sécurité et de l’ PKI la géraient discrètement, et les services chargés de la conformité s’en occupaient rarement. Cette époque est révolue. La conformité en matière de cryptographie prévue par la partie 500 du NYDFS est désormais une question que les inspecteurs posent directement, sous peine d’amendes et de responsabilité personnelle.

La partie 500 n’est pas un cas isolé. Elle s’inscrit dans le sillage de la loi DORA, de la norme PCI DSS révisée et d’une vague plus large de réglementations cryptographiques normatives. Les régulateurs s’éloignent des formulations vagues telles que « mesures de sécurité appropriées » pour s’orienter vers des exigences précises et applicables. À New York, cette transition est déjà achevée : le deuxième amendement a été adopté le 1er novembre 2023 et sa mise en œuvre progressive s’étend jusqu’au 1er novembre 2025. Toutes les périodes de transition sont désormais terminées. Depuis le 1er novembre 2024, l’article §500.15 n’autorise plus aucune alternative au chiffrement des informations non publiques transitant sur des réseaux externes, à quelques exceptions près.

Ce guide vous explique à qui s'applique la partie 500, quelles sont les mesures de sécurité cryptographiques qu'elle mentionne et quelles preuves vous devriez être en mesure de fournir dès aujourd'hui.

Qu'est-ce que la partie 500 du NYDFS et à qui s'applique-t-elle ?

La partie 500 du titre 23 du NYCRR (NYDFS) constitue la réglementation en matière de cybersécurité du Département des services financiers de l’État de New York. Elle définit les obligations minimales de sécurité auxquelles doivent se conformer les entreprises de services financiers soumises à réglementation, en mentionnant expressément le chiffrement, l’authentification multifactorielle et la certification annuelle.

Son champ d'application est plus large que ne le pensent de nombreuses équipes. La partie 500 s'applique à toute organisation opérant sous le régime d'une licence, d'un enregistrement, d'une charte ou d'une autorisation similaire délivrée par l'État de New York, quel que soit le lieu de son siège social et indépendamment du fait qu'elle soit également réglementée par d'autres organismes publics. C'est la licence qui détermine le champ d'application, et non l'adresse.

Bref historique de la réglementation

La partie 500 a été promulguée pour la première fois en 2017 ; il s’agissait de la première réglementation étatique exhaustive en matière de cybersécurité destinée aux établissements financiers. Le deuxième amendement l’a profondément remaniée ; il est entré en vigueur le 1er novembre 2023, puis a été progressivement mis en œuvre jusqu’au 1er novembre 2025.

Ce déploiement progressif revêt une importance particulière pour une raison : il est achevé. Toutes les dispositions de la règle modifiée sont désormais pleinement en vigueur ; il n'y a donc plus aucune marge de manœuvre pour considérer un quelconque contrôle cryptographique comme un travail à venir.

Quelles sont les entités concernées ?

Une « entité concernée » désigne toute banque, tout assureur, tout prêteur agréé ou toute entreprise spécialisée dans les monnaies virtuelles réglementée par le NYDFS. Si votre organisation détient une licence, un enregistrement ou un statut de société délivré par l'État de New York, la partie 500 s'applique probablement à vous, même si votre siège social est situé dans un autre État ou un autre pays.

C'est précisément cette portée liée à la licence qui surprend de nombreuses équipes. Une entreprise peut être implantée loin de New York et se voir néanmoins soumise à l'ensemble des obligations cryptographiques prévues par la Partie 500 en raison d'une seule autorisation.

Les sociétés de classe A et la condition supplémentaire

Les plus grandes entités concernées sont désignées sous le nom d’« entreprises de classe A » et sont soumises à des exigences plus strictes. Outre les exigences de base en matière de chiffrement et d’authentification, les entreprises de classe A doivent se soumettre à des audits indépendants, mettre en place une gestion des accès privilégiés et disposer de systèmes de détection et de réponse au niveau des terminaux.

Si votre établissement répond aux critères de la catégorie A, les contrôleurs s'attendront à ce que vous leur fournissiez des preuves concrètes de ces contrôles renforcés, en plus de toutes les exigences imposées aux entités concernées de plus petite taille.

Pourquoi les enjeux sont plus importants que jamais

Le NYDFS a infligé des amendes pouvant atteindre 30 millions de dollars pour des manquements aux règles de cybersécurité. Ce simple fait change la donne, mais le deuxième amendement a ajouté un élément encore plus percutant : la responsabilité individuelle.

La déclaration annuelle de conformité des matériels doit être signée à la fois par le plus haut responsable de l’entité concernée et par son RSSI. Elle doit être remise au plus tard le 15 avril de chaque année, et les pièces justificatives doivent être conservées pendant cinq ans. Cette double signature fait de l’état des contrôles cryptographiques un élément attesté officiellement par deux responsables désignés, étayé par cinq ans de preuves conservées. Cette responsabilité n’incombe pas à l’équipe de sécurité.

Les principales exigences cryptographiques de la partie 500 du NYDFS

La partie 500 traite de la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Chacun d'entre eux correspond à un élément de preuve qu'un auditeur peut vérifier. Les sous-sections ci-dessous adoptent une structure « réponse d'abord », afin que chaque exigence soit facile à identifier et à mettre en œuvre.

Article 500.15 : cryptage des informations non publiques

L'article 500.15 impose le chiffrement des informations non publiques, tant au repos qu'en transit. Lorsque le chiffrement au repos n'est pas réalisable, le RSSI doit approuver par écrit des mesures de contrôle compensatoires efficaces, et cette approbation doit faire l'objet d'un réexamen au moins une fois par an.

Le chiffrement en transit sur les réseaux externes n'offre pas la même souplesse. Il n'existe pas de mesure de contrôle compensatoire pour les données transitant sur les réseaux externes ; l'exigence est donc claire : il faut les chiffrer.

Section 500.11 : Sécurité des prestataires de services tiers

Les entités concernées sont tenues de gérer les risques liés à la cybersécurité liés aux tiers, et pas seulement les leurs. En vertu de l'article 500.11, cela implique de mettre en place des politiques à l'égard des prestataires de services tiers qui traitent des obligations de diligence raisonnable et des protections contractuelles.

Ces protections contractuelles s'étendent aux pratiques cryptographiques. Les fournisseurs doivent être tenus de respecter des exigences minimales en matière de sécurité, des obligations de signalement des violations, ainsi que des contrôles portant sur le chiffrement et l'accès, y compris l'authentification multifactorielle. Votre assurance cryptographique dépend désormais des éléments probants que vous pouvez obtenir auprès des fournisseurs, et non plus uniquement de votre propre environnement.

Section 500.12 : authentification à plusieurs facteurs pour tous les accès au système

L'article 500.12 impose une authentification multifactorielle à toute personne accédant à un système d'information, quels que soient son rôle, son lieu de travail ou l'appareil utilisé. Depuis le 1er novembre 2025, cette obligation s'applique de manière universelle et ne se limite pas aux accès à distance ou aux accès privilégiés.

La méthode a également son importance. Les recommandations publiées en juillet 2025 par le NYDFS ont renforcé la position du DFS, en signalant que l’authentification par SMS et par notifications push constituait des options moins sûres qui nécessitaient une justification minutieuse fondée sur l’analyse des risques. Une authentification multifactorielle (MFA) basée sur des certificats et résistante au phishing vous offre une meilleure protection et une réponse plus claire en cas d’audit.

Section 500.7 : accès privilégié et conservation des clés

La section 500.7 établit un lien entre la gestion des accès privilégiés et la délivrance d'identifiants cryptographiques. Dans la pratique, cela implique d'appliquer le principe du « privilège minimal » aux administrateurs chargés de délivrer et de gérer les clés et les certificats.

Les personnes habilitées à émettre ou à révoquer des identifiants cryptographiques disposent d'un pouvoir considérable sur votre infrastructure de confiance. La partie 500 exige que ce pouvoir soit délimité, contrôlé et justifié.

Section 500.13 : inventaire des actifs et des certificats

L'article 500.13 exige un inventaire complet, précis et documenté des systèmes d'information, ce qui implique un inventaire des actifs comprenant les certificats et les clés cryptographiques, soumis aux mêmes exigences. Plus précisément, cet inventaire doit couvrir les certificats et les clés qui soutiennent les systèmes contenant des informations non publiques.

On ne peut pas protéger ni certifier ce que l'on ne voit pas. Un inventaire à jour, associé à des systèmes d'informations non publiques, constitue la base sur laquelle reposent les autres contrôles cryptographiques.

Section 500.8 : développement sécurisé d'applications

La section 500.8 intègre les contrôles cryptographiques dans le processus de développement sécurisé. Pour les applications internes qui traitent des informations non publiques, cela implique notamment d'intégrer des contrôles de signature de code dans le cycle de vie du développement.

Cette exigence s'étend également à l'extérieur. Les entités concernées doivent mettre en place des procédures permettant d'évaluer et de tester la sécurité des applications développées en externe qu'elles utilisent, afin que le code tiers fasse l'objet du même examen minutieux que les développements internes.

Article 500.17 : justificatifs de certification annuelle

L'article 500.17(b) sert de fondement à la certification par double signature. Afin d'apporter leur soutien au PDG et au RSSI qui apposent leur signature, les équipes doivent disposer d'un dossier complet de preuves concernant l'état des contrôles cryptographiques.

La mise en place de ce dispositif ne devrait pas se transformer en véritable course effrénée chaque mois d’avril. C’est précisément la vue d’ensemble unique et à jour de l’état du chiffrement, de l’authentification multifactorielle (MFA), de l’inventaire et du contrôle d’accès qui rend la certification défendable.

Se préparer à l'audit : les questions que poseront les auditeurs

La meilleure façon de vérifier si vous êtes prêt est de répondre aux questions comme le ferait un examinateur. Si vous êtes capable de répondre à chacune d'entre elles dès aujourd'hui, en apportant des arguments, vous êtes en très bonne posture.

• Les informations non publiques sont-elles chiffrées au repos et en transit, et les mesures de compensation approuvées par le RSSI sont-elles documentées et réexaminées chaque année ? Si ce n'est pas le cas, pouvez-vous bénéficier d'une dérogation ?
• Depuis le 1er novembre 2025, l'authentification multifactorielle (MFA) est-elle obligatoire pour toute personne accédant à un système d'information ? Si des méthodes moins sécurisées sont utilisées, pouvez-vous indiquer où elles sont mises en œuvre et justifier ce choix par écrit ?
• Votre suivi d'inventaire 500.13 permet de suivre les dates d'expiration des systèmes d'information. Peut-il vous indiquer de quels certificats ces systèmes dépendent et quand ils expirent ?
• Les autorisations relatives aux mesures de contrôle compensatoires et les autres décisions prises par le RSSI sont-elles consignées par écrit et réexaminées au moins une fois par an ?
• Pour les entreprises de catégorie A, existe-t-il des preuves attestant de la réalisation d'audits indépendants, de la mise en place d'une gestion des accès privilégiés et de la couverture par une solution EDR ?
• Les pièces justificatives relatives à la certification annuelle sont-elles conservées pendant les cinq ans requis ?

Perspectives d'avenir : la préparation à l'ère post-quantique se profile à l'horizon

Le travail que vous effectuez en matière d’inventaire des certificats et des clés dans le cadre des sections 500.13 et 500.15 présente un deuxième avantage. Lorsque les normes auxquelles il fait référence cesseront d’accepter les algorithmes RSA et ECC, la section 500.15 cessera également de les accepter. Votre travail constitue donc également le fondement de l’agilité cryptographique et de la préparation à l’ère post-quantique, une orientation que prennent désormais presque tous les cadres de référence.

Pour être clair, la migration post-quantique n’est pas aujourd’hui une exigence de la partie 500. Cependant, le NIST a publié un calendrier de transition prévoyant l’abandon progressif des algorithmes actuels d’ici 2030, et les exigences en matière d’inventaire auxquelles vous répondez déjà constituent précisément la base sur laquelle reposera cette future migration. Le travail d’inventaire réalisé aujourd’hui est étroitement lié aux étapes suivantes.

Comment « Keyfactor » facilite la mise en conformité cryptographique avec la partie 500 du NYDFS

Keyfactor correspond directement aux domaines de contrôle de la Partie 500 mentionnés ci-dessus, ce qui vous permet de satisfaire à chaque exigence et de fournir les éléments justificatifs attendus par les examinateurs.

• Preuve de certification annuelle (500.17) : AgileSec regroupe l'état des contrôles cryptographiques dans un dossier prêt pour l'audit.
• Chiffrement et authentification multifactorielle (MFA) basée sur des certificats (500.15, 500.12) : EJBCA émet et gère les certificats utilisés pour le chiffrement et l'authentification résistante au phishing.
• Développement sécurisé d'applications (500.8) : SignServer intègre des contrôles de signature de code dans votre pipeline de développement.
• Accès privilégiés, gestion des clés et inventaire (500.7, 500.13) : Keyfactor Command offre une visibilité permanente sur les certificats et les clés et garantit un contrôle de leur émission.

Ces outils sont regroupés au sein du « Trust Control Plane » d’ Keyfactor , un système de référence unique qui surveille, analyse, provisionne, orchestre et gère chaque ressource cryptographique. Il en résulte un point central permettant de fournir les preuves requises par n’importe quel cadre de référence.

Conclusion : un programme, pas un projet

La mise en conformité avec la partie 500 n’est pas une tâche que l’on accomplit une fois pour toutes avant de la classer. Et bien que cette réglementation ne précise pas quel algorithme utiliser, elle stipule que deux dirigeants désignés devront signer pour valider votre choix, et que vous devrez conserver la documentation pendant cinq ans. Il ne s’agit pas là d’une prescription technologique ; il s’agit toutefois d’une exigence qui vous oblige à savoir, en permanence, en quoi consiste réellement votre cryptographie.

Les établissements qui adoptent cette approche s'adaptent plus facilement à chaque nouvelle exigence, qu'il s'agisse d'une réglementation nationale, d'une directive d'un réseau de cartes de paiement ou d'un décret. La prochaine exigence s'appuie alors sur une infrastructure qui y répond déjà.

Prêt à savoir où vous en êtes par rapport à la partie 500 ? Demandez une démonstration pour évaluer votre visibilité cryptographique et constituer des preuves prêtes pour un audit.

Vous avez des questions sur la partie 500 du NYDFS ? Nous avons les réponses.

What is NYDFS Part 500?
NYDFS 23 NYCRR Part 500 is the New York Department of Financial Services cybersecurity regulation. It sets security obligations for regulated financial companies, naming encryption, multi-factor authentication, and annual certification directly.

Who has to comply with Part 500?
Banks, insurers, licensed lenders, and virtual currency businesses regulated by NYDFS. Its reach is not tied to a location: any organization operating under a New York license, registration, or charter is covered regardless of where headquarters are or which other regulations they must follow.

Is NYDFS Part 500 fully in effect?
Yes. The Second Amendment took effect November 1, 2023, and phased in through November 1, 2025. Every transition period has passed, so all amended requirements are now fully enforceable.

What does Part 500 require for encryption?
Section 500.15 requires encryption of nonpublic information at rest and in transit. Where encryption at rest is infeasible, the CISO must approve compensating controls in writing and review that approval at least annually.

What are the MFA requirements under Part 500?
Section 500.12 requires multi-factor authentication for any individual accessing any information system. NYDFS’s July 2025 guidance flags SMS and push-based methods as weaker, favoring certificate-based, phishing-resistant MFA.

What is a Class A Company under Part 500?
Class A Companies are the largest covered entities.  They have at least $20M in gross annual revenue in each of the last two fiscal years and either more than 2,000 employees or more than $1B in revenue. Class A companies owe independent audits, privileged access management, and endpoint detection and response — but no additional encryption requirements. §500.15 is identical for every covered entity.

What are the penalties for non-compliance?
NYDFS has levied fines up to $30 million for cybersecurity failures. The rule also adds personal accountability through a dual-signature annual certification signed by the top executive and the CISO.

When is the NYDFS annual certification due?
The Certification of Material Compliance is due April 15 each year. It must be signed by the highest-ranking executive and the CISO, with supporting documentation retained for five yea