NYDFS 23 NYCRR, partie 500 :

Vue d'ensemble

La réglementation du NYDFS en matière de cybersécurité, initialement promulguée en 2017, a fait l’objet d’une refonte en profondeur dans le cadre du deuxième amendement, entré en vigueur le 1er novembre 2023 et dont la mise en œuvre s’est échelonnée jusqu’au 1er novembre 2025. Toutes les périodes de transition sont désormais terminées, et les exigences modifiées sont pleinement applicables.

L'article 500.15 impose le chiffrement des informations non publiques, tant au repos qu'en transit. Lorsque le chiffrement n'est pas réalisable, le RSSI doit approuver par écrit des contrôles compensatoires efficaces, et cette approbation doit faire l'objet d'un réexamen au moins une fois par an. La section 500.12 exige désormais une authentification multifactorielle pour toute personne accédant à un système d'information, quels que soient son rôle, son emplacement ou l'appareil utilisé. Les directives du NYDFS de juillet 2025 signalent spécifiquement que l'authentification par SMS et par notifications push constituent des options moins sûres qui nécessitent une justification minutieuse fondée sur l'analyse des risques.

Pourquoi c'est important 

Le NYDFS a infligé des amendes pouvant atteindre 30 millions de dollars pour des manquements en matière de cybersécurité, et le deuxième amendement a introduit une responsabilité personnelle : la « Certification de conformité matérielle » annuelle doit être signée à la fois par le plus haut responsable de l’entité concernée et par son RSSI ; elle doit être remise avant le 15 avril de chaque année et accompagnée de pièces justificatives conservées pendant cinq ans.

Les entreprises de catégorie A, qui constituent les plus grandes entités réglementées, sont soumises à des obligations supplémentaires, notamment des audits indépendants, la gestion des accès privilégiés ainsi que la détection et la réponse au niveau des terminaux, en plus des exigences de base en matière de chiffrement et d'authentification qui s'appliquent à toutes les entités concernées.

En quoi cela s'applique-t-il à la cryptographie ? 

La partie 500 du titre 23 du NYCRR (NYDFS) traite de la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications cryptographiques directes sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Couverture du chiffrement et contrôles compensatoires : Les informations non publiques sont-elles chiffrées au repos et en transit, et les contrôles compensatoires approuvés par le RSSI sont-ils documentés et révisés chaque année ?
• Couverture universelle de l'authentification multifactorielle (MFA) : depuis le 1er novembre 2025, l'authentification multifactorielle (MFA) est-elle obligatoire pour toute personne accédant à un système d'information, les méthodes moins sécurisées ne pouvant être utilisées que si leur utilisation est justifiée par une analyse des risques consignée par écrit ?
• Inventaire des certificats et des clés liés aux systèmes NPI : l'inventaire des actifs requis en vertu de l'article 500.13 recense-t-il les certificats et les clés protégeant les informations non publiques ?
• Approbations écrites du RSSI : les approbations relatives aux mesures de contrôle compensatoires et les autres décisions du RSSI sont-elles consignées par écrit et réexaminées au moins une fois par an ?
• Contrôles renforcés de classe A : pour les entreprises de classe A, existe-t-il des preuves attestant de la réalisation d’audits indépendants, d’une gestion des accès privilégiés et d’une couverture EDR ?
• Conservation des dossiers de certification : les pièces justificatives relatives à la certification annuelle sont-elles conservées pendant les cinq ans requis ?

TRANSMETTEZ CELA À LA DIRECTION

Toutes les périodes de transition prévues par le deuxième amendement ont pris fin le 1er novembre 2025. Il n’y a plus de délai de grâce : le chiffrement des informations non publiques, l’authentification multifactorielle (MFA) universelle et la certification annuelle par double signature sont désormais pleinement applicables, et le NYDFS a déjà infligé des amendes pouvant atteindre 30 millions de dollars aux organisations qui ne se sont pas conformées à ces exigences.

La certification elle-même expose personnellement notre PDG et notre RSSI. Avant que l’un ou l’autre ne signe, nous devons disposer de documents indiquant où les informations non publiques sont chiffrées, où un contrôle compensatoire approuvé par le RSSI remplace le chiffrement, et attestant que notre couverture en matière d’authentification multifactorielle (MFA) ne présente aucune lacune, le tout conservé sous une forme que nous pourrions remettre à un inspecteur du DFS sans préavis.