Pendant la majeure partie des trois dernières décennies, la cryptographie est restée en retrait dans le secteur des services financiers. Les équipes chargées de la sécurité et de l’ PKI la géraient discrètement, et les services chargés de la conformité s’en occupaient rarement. Cette époque est révolue. La conformité en matière de cryptographie prévue par la partie 500 du NYDFS est désormais une question que les inspecteurs posent directement, sous peine d’amendes et de responsabilité personnelle.
La partie 500 n’est pas un cas isolé. Elle s’inscrit dans le sillage de la loi DORA, de la norme PCI DSS révisée et d’une vague plus large de réglementations cryptographiques normatives. Les régulateurs s’éloignent des formulations vagues telles que « mesures de sécurité appropriées » pour s’orienter vers des exigences précises et applicables. À New York, cette transition est déjà achevée : le deuxième amendement a été adopté le 1er novembre 2023 et sa mise en œuvre progressive s’étend jusqu’au 1er novembre 2025. Toutes les périodes de transition sont désormais terminées. Depuis le 1er novembre 2024, l’article §500.15 n’autorise plus aucune alternative au chiffrement des informations non publiques transitant sur des réseaux externes, à quelques exceptions près.
Ce guide vous explique à qui s'applique la partie 500, quelles sont les mesures de sécurité cryptographiques qu'elle mentionne et quelles preuves vous devriez être en mesure de fournir dès aujourd'hui.
Qu'est-ce que la partie 500 du NYDFS et à qui s'applique-t-elle ?
La partie 500 du titre 23 du NYCRR (NYDFS) constitue la réglementation en matière de cybersécurité du Département des services financiers de l’État de New York. Elle définit les obligations minimales de sécurité auxquelles doivent se conformer les entreprises de services financiers soumises à réglementation, en mentionnant expressément le chiffrement, l’authentification multifactorielle et la certification annuelle.
Son champ d'application est plus large que ne le pensent de nombreuses équipes. La partie 500 s'applique à toute organisation opérant sous le régime d'une licence, d'un enregistrement, d'une charte ou d'une autorisation similaire délivrée par l'État de New York, quel que soit le lieu de son siège social et indépendamment du fait qu'elle soit également réglementée par d'autres organismes publics. C'est la licence qui détermine le champ d'application, et non l'adresse.
Bref historique de la réglementation
La partie 500 a été promulguée pour la première fois en 2017 ; il s’agissait de la première réglementation étatique exhaustive en matière de cybersécurité destinée aux établissements financiers. Le deuxième amendement l’a profondément remaniée ; il est entré en vigueur le 1er novembre 2023, puis a été progressivement mis en œuvre jusqu’au 1er novembre 2025.
Ce déploiement progressif revêt une importance particulière pour une raison : il est achevé. Toutes les dispositions de la règle modifiée sont désormais pleinement en vigueur ; il n'y a donc plus aucune marge de manœuvre pour considérer un quelconque contrôle cryptographique comme un travail à venir.
Quelles sont les entités concernées ?
Une « entité concernée » désigne toute banque, tout assureur, tout prêteur agréé ou toute entreprise spécialisée dans les monnaies virtuelles réglementée par le NYDFS. Si votre organisation détient une licence, un enregistrement ou un statut de société délivré par l'État de New York, la partie 500 s'applique probablement à vous, même si votre siège social est situé dans un autre État ou un autre pays.
C'est précisément cette portée liée à la licence qui surprend de nombreuses équipes. Une entreprise peut être implantée loin de New York et se voir néanmoins soumise à l'ensemble des obligations cryptographiques prévues par la Partie 500 en raison d'une seule autorisation.
Les sociétés de classe A et la condition supplémentaire
Les plus grandes entités concernées sont désignées sous le nom d’« entreprises de classe A » et sont soumises à des exigences plus strictes. Outre les exigences de base en matière de chiffrement et d’authentification, les entreprises de classe A doivent se soumettre à des audits indépendants, mettre en place une gestion des accès privilégiés et disposer de systèmes de détection et de réponse au niveau des terminaux.
Si votre établissement répond aux critères de la catégorie A, les contrôleurs s'attendront à ce que vous leur fournissiez des preuves concrètes de ces contrôles renforcés, en plus de toutes les exigences imposées aux entités concernées de plus petite taille.
Pourquoi les enjeux sont plus importants que jamais
Le NYDFS a infligé des amendes pouvant atteindre 30 millions de dollars pour des manquements aux règles de cybersécurité. Ce simple fait change la donne, mais le deuxième amendement a ajouté un élément encore plus percutant : la responsabilité individuelle.
La déclaration annuelle de conformité des matériels doit être signée à la fois par le plus haut responsable de l’entité concernée et par son RSSI. Elle doit être remise au plus tard le 15 avril de chaque année, et les pièces justificatives doivent être conservées pendant cinq ans. Cette double signature fait de l’état des contrôles cryptographiques un élément attesté officiellement par deux responsables désignés, étayé par cinq ans de preuves conservées. Cette responsabilité n’incombe pas à l’équipe de sécurité.
Les principales exigences cryptographiques de la partie 500 du NYDFS
La partie 500 traite de la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Chacun d'entre eux correspond à un élément de preuve qu'un auditeur peut vérifier. Les sous-sections ci-dessous adoptent une structure « réponse d'abord », afin que chaque exigence soit facile à identifier et à mettre en œuvre.
Article 500.15 : cryptage des informations non publiques
L'article 500.15 impose le chiffrement des informations non publiques, tant au repos qu'en transit. Lorsque le chiffrement au repos n'est pas réalisable, le RSSI doit approuver par écrit des mesures de contrôle compensatoires efficaces, et cette approbation doit faire l'objet d'un réexamen au moins une fois par an.
Le chiffrement en transit sur les réseaux externes n'offre pas la même souplesse. Il n'existe pas de mesure de contrôle compensatoire pour les données transitant sur les réseaux externes ; l'exigence est donc claire : il faut les chiffrer.
Section 500.11 : Sécurité des prestataires de services tiers
Les entités concernées sont tenues de gérer les risques liés à la cybersécurité liés aux tiers, et pas seulement les leurs. En vertu de l'article 500.11, cela implique de mettre en place des politiques à l'égard des prestataires de services tiers qui traitent des obligations de diligence raisonnable et des protections contractuelles.
Ces protections contractuelles s'étendent aux pratiques cryptographiques. Les fournisseurs doivent être tenus de respecter des exigences minimales en matière de sécurité, des obligations de signalement des violations, ainsi que des contrôles portant sur le chiffrement et l'accès, y compris l'authentification multifactorielle. Votre assurance cryptographique dépend désormais des éléments probants que vous pouvez obtenir auprès des fournisseurs, et non plus uniquement de votre propre environnement.
Section 500.12 : authentification à plusieurs facteurs pour tous les accès au système
L'article 500.12 impose une authentification multifactorielle à toute personne accédant à un système d'information, quels que soient son rôle, son lieu de travail ou l'appareil utilisé. Depuis le 1er novembre 2025, cette obligation s'applique de manière universelle et ne se limite pas aux accès à distance ou aux accès privilégiés.
La méthode a également son importance. Les recommandations publiées en juillet 2025 par le NYDFS ont renforcé la position du DFS, en signalant que l’authentification par SMS et par notifications push constituait des options moins sûres qui nécessitaient une justification minutieuse fondée sur l’analyse des risques. Une authentification multifactorielle (MFA) basée sur des certificats et résistante au phishing vous offre une meilleure protection et une réponse plus claire en cas d’audit.
Section 500.7 : accès privilégié et conservation des clés
La section 500.7 établit un lien entre la gestion des accès privilégiés et la délivrance d'identifiants cryptographiques. Dans la pratique, cela implique d'appliquer le principe du « privilège minimal » aux administrateurs chargés de délivrer et de gérer les clés et les certificats.
Les personnes habilitées à émettre ou à révoquer des identifiants cryptographiques disposent d'un pouvoir considérable sur votre infrastructure de confiance. La partie 500 exige que ce pouvoir soit délimité, contrôlé et justifié.
Section 500.13 : inventaire des actifs et des certificats
L'article 500.13 exige un inventaire complet, précis et documenté des systèmes d'information, ce qui implique un inventaire des actifs comprenant les certificats et les clés cryptographiques, soumis aux mêmes exigences. Plus précisément, cet inventaire doit couvrir les certificats et les clés qui soutiennent les systèmes contenant des informations non publiques.
On ne peut pas protéger ni certifier ce que l'on ne voit pas. Un inventaire à jour, associé à des systèmes d'informations non publiques, constitue la base sur laquelle reposent les autres contrôles cryptographiques.
Section 500.8 : développement sécurisé d'applications
La section 500.8 intègre les contrôles cryptographiques dans le processus de développement sécurisé. Pour les applications internes qui traitent des informations non publiques, cela implique notamment d'intégrer des contrôles de signature de code dans le cycle de vie du développement.
Cette exigence s'étend également à l'extérieur. Les entités concernées doivent mettre en place des procédures permettant d'évaluer et de tester la sécurité des applications développées en externe qu'elles utilisent, afin que le code tiers fasse l'objet du même examen minutieux que les développements internes.
Article 500.17 : justificatifs de certification annuelle
L'article 500.17(b) sert de fondement à la certification par double signature. Afin d'apporter leur soutien au PDG et au RSSI qui apposent leur signature, les équipes doivent disposer d'un dossier complet de preuves concernant l'état des contrôles cryptographiques.
La mise en place de ce dispositif ne devrait pas se transformer en véritable course effrénée chaque mois d’avril. C’est précisément la vue d’ensemble unique et à jour de l’état du chiffrement, de l’authentification multifactorielle (MFA), de l’inventaire et du contrôle d’accès qui rend la certification défendable.
Se préparer à l'audit : les questions que poseront les auditeurs
La meilleure façon de vérifier si vous êtes prêt est de répondre aux questions comme le ferait un examinateur. Si vous êtes capable de répondre à chacune d'entre elles dès aujourd'hui, en apportant des arguments, vous êtes en très bonne posture.
- Les informations non publiques sont-elles chiffrées au repos et en transit, et les mesures de compensation approuvées par le RSSI sont-elles documentées et réexaminées chaque année ? Si ce n'est pas le cas, pouvez-vous bénéficier d'une dérogation ?
- Depuis le 1er novembre 2025, l'authentification multifactorielle (MFA) est-elle obligatoire pour toute personne accédant à un système d'information ? Si des méthodes moins sécurisées sont utilisées, pouvez-vous indiquer où elles sont mises en œuvre et justifier ce choix par écrit ?
- Votre suivi d'inventaire 500.13 permet de suivre les dates d'expiration des systèmes d'information. Peut-il vous indiquer de quels certificats ces systèmes dépendent et quand ils expirent ?
- Les autorisations relatives aux mesures de contrôle compensatoires et les autres décisions prises par le RSSI sont-elles consignées par écrit et réexaminées au moins une fois par an ?
- Pour les entreprises de catégorie A, existe-t-il des preuves attestant de la réalisation d'audits indépendants, de la mise en place d'une gestion des accès privilégiés et de la couverture par une solution EDR ?
- Les pièces justificatives relatives à la certification annuelle sont-elles conservées pendant les cinq ans requis ?
Perspectives d'avenir : la préparation à l'ère post-quantique se profile à l'horizon
Le travail que vous effectuez en matière d’inventaire des certificats et des clés dans le cadre des sections 500.13 et 500.15 présente un deuxième avantage. Lorsque les normes auxquelles il fait référence cesseront d’accepter les algorithmes RSA et ECC, la section 500.15 cessera également de les accepter. Votre travail constitue donc également le fondement de l’agilité cryptographique et de la préparation à l’ère post-quantique, une orientation que prennent désormais presque tous les cadres de référence.
Pour être clair, la migration post-quantique n’est pas aujourd’hui une exigence de la partie 500. Cependant, le NIST a publié un calendrier de transition prévoyant l’abandon progressif des algorithmes actuels d’ici 2030, et les exigences en matière d’inventaire auxquelles vous répondez déjà constituent précisément la base sur laquelle reposera cette future migration. Le travail d’inventaire réalisé aujourd’hui est étroitement lié aux étapes suivantes.
Comment « Keyfactor » facilite la mise en conformité cryptographique avec la partie 500 du NYDFS
Keyfactor correspond directement aux domaines de contrôle de la Partie 500 mentionnés ci-dessus, ce qui vous permet de satisfaire à chaque exigence et de fournir les éléments justificatifs attendus par les examinateurs.
- Preuve de certification annuelle (500.17) : AgileSec regroupe l'état des contrôles cryptographiques dans un dossier prêt pour l'audit.
- Chiffrement et authentification multifactorielle (MFA) basée sur des certificats (500.15, 500.12) : EJBCA émet et gère les certificats utilisés pour le chiffrement et l'authentification résistante au phishing.
- Développement sécurisé d'applications (500.8) : SignServer intègre des contrôles de signature de code dans votre pipeline de développement.
- Accès privilégiés, gestion des clés et inventaire (500.7, 500.13) : Keyfactor Command offre une visibilité permanente sur les certificats et les clés et garantit un contrôle de leur émission.
Ces outils sont regroupés au sein du « Trust Control Plane » d’ Keyfactor , un système de référence unique qui surveille, analyse, provisionne, orchestre et gère chaque ressource cryptographique. Il en résulte un point central permettant de fournir les preuves requises par n’importe quel cadre de référence.
Conclusion : un programme, pas un projet
La mise en conformité avec la partie 500 n’est pas une tâche que l’on accomplit une fois pour toutes avant de la classer. Et bien que cette réglementation ne précise pas quel algorithme utiliser, elle stipule que deux dirigeants désignés devront signer pour valider votre choix, et que vous devrez conserver la documentation pendant cinq ans. Il ne s’agit pas là d’une prescription technologique ; il s’agit toutefois d’une exigence qui vous oblige à savoir, en permanence, en quoi consiste réellement votre cryptographie.
Les établissements qui adoptent cette approche s'adaptent plus facilement à chaque nouvelle exigence, qu'il s'agisse d'une réglementation nationale, d'une directive d'un réseau de cartes de paiement ou d'un décret. La prochaine exigence s'appuie alors sur une infrastructure qui y répond déjà.
Prêt à savoir où vous en êtes par rapport à la partie 500 ? Demandez une démonstration pour évaluer votre visibilité cryptographique et constituer des preuves prêtes pour un audit.
Vous avez des questions sur la partie 500 du NYDFS ? Nous avons les réponses.
Qu'est-ce que la partie 500 du NYDFS ?
La partie500 du NYDFS (23 NYCRR) est la réglementation en matière de cybersécurité du Département des services financiers de l'État de New York. Elle définit les obligations de sécurité des établissements financiers réglementés, en mentionnant explicitement le chiffrement, l'authentification multifactorielle et la certification annuelle.
Qui est tenu de se conformer à la partie 500 ?
Les banques, les assureurs, les prêteurs agréés et les entreprises de monnaies virtuelles réglementées par le NYDFS. Son champ d'application n'est pas lié à un lieu géographique : toute organisation opérant sous une licence, un enregistrement ou une charte de l'État de New York est concernée, quel que soit le lieu de son siège social ou les autres réglementations auxquelles elle est soumise.
La partie 500 du NYDFS est-elle pleinement en vigueur ?
Oui. Le deuxième amendement est entré en vigueur le 1er novembre 2023 et a été mis en œuvre progressivement jusqu'au 1er novembre 2025. Toutes les périodes de transition étant désormais terminées, l'ensemble des exigences modifiées sont désormais pleinement applicables.
Quelles sont les exigences de la partie 500 en matière de chiffrement ?
L'article 500.15 impose le chiffrement des informations non publiques, tant au repos qu'en transit. Lorsque le chiffrement au repos n'est pas réalisable, le RSSI doit approuver par écrit des mesures de contrôle compensatoires et réexaminer cette approbation au moins une fois par an.
Quelles sont les exigences en matière d'authentification multifactorielle (MFA) prévues par la partie 500 ?
L'article 500.12 impose l'authentification multifactorielle à toute personne accédant à un système d'information. Les recommandations du NYDFS de juillet 2025 signalent que les méthodes par SMS et par notifications push sont moins sûres, et préconisent une authentification multifactorielle basée sur des certificats et résistante au phishing.
Qu'est-ce qu'une entreprise de catégorie A au sens de la partie 500 ?
Les entreprises de catégorie A sont les plus grandes entités concernées. Elles ont réalisé un chiffre d’affaires annuel brut d’au moins 20 millions de dollars au cours de chacun des deux derniers exercices fiscaux et comptent soit plus de 2 000 salariés, soit un chiffre d’affaires supérieur à 1 milliard de dollars. Les entreprises de classe A sont tenues de se soumettre à des audits indépendants, de mettre en place une gestion des accès privilégiés ainsi que des systèmes de détection et de réponse au niveau des terminaux — mais elles ne sont soumises à aucune exigence supplémentaire en matière de chiffrement. L’article §500.15 est identique pour toutes les entités concernées.
Quelles sont les sanctions en cas de non-respect ?
Le NYDFS a infligé des amendes pouvant atteindre 30 millions de dollars pour des manquements en matière de cybersécurité. La réglementation renforce également la responsabilité individuelle par le biais d’une attestation annuelle à double signature, signée par le dirigeant général et le RSSI.
Quelle est la date limite pour la certification annuelle du NYDFS ?
La « Certification of Material Compliance » doit être remise au plus tardle 15 avril de chaque année. Elle doit être signée par le dirigeant le plus haut placé et le RSSI, et les pièces justificatives doivent être conservées pendant cinq ans.
