Cybersicherheitsverordnung des NY DFS (23 NYCRR 500): Was Finanzdienstleistungsunternehmen und ihre MSPs wissen müssen

Die meisten NYDFS-Compliance-Programme, die heute aktiv genutzt werden, wurden auf der Grundlage der ursprünglichen Fassung von 23 NYCRR Teil 500 aus dem Jahr 2017 entwickelt. Die Änderungen vom November 2023 haben die Anforderungen wesentlich verändert, und ein Programm, das nicht an die aktuelle Regelung angepasst wurde, läuft nun entgegen Anforderungen, die nicht mehr bestehen.

Dies ist von Bedeutung, da das New Yorker Finanzdienstleistungsamt (DFS) die Vorschrift aktiv durchsetzt – mit Strafen in einer Größenordnung, die Finanzteams durchaus zur Kenntnis nehmen. Robinhood zahlte im Jahr 2022 30 Millionen US-Dollar. EyeMed Vision Care zahlte 4,5 Millionen Dollar. OneMain Financial zahlte im Jahr 2023 4,25 Millionen Dollar. Dabei handelte es sich nicht um theoretische Risiken. Es waren Ergebnisse von Durchsetzungsmaßnahmen gegen Unternehmen, die nach Einschätzung des DFS die von der Verordnung geforderten Kontrollmaßnahmen nicht umgesetzt hatten.

Dieser Leitfaden erläutert, was 23 NYCRR 500 gemäß der geänderten Vorschrift tatsächlich vorschreibt, wer die Vorschriften einhalten muss, wie die 72-Stunden- und 24-Stunden-Meldefristen in der Praxis funktionieren, welche Anforderungen die Vorschrift an Drittanbieter (d. h. MSPs) stellt und wie man im Falle einer aktiven Überprüfung eine vertretbare Compliance-Situation aufbaut. Lesen Sie den „Kaseya State of the MSP Report 2026“, um sich einen Überblick über den allgemeinen Kontext der Cybersicherheit zu verschaffen.

Seien Sie der Durchsetzung von 23 NYCRR 500 immer einen Schritt voraus.

Compliance Manager GRCDas NY-DFS-Modul des Unternehmens überwacht die Einhaltung der geänderten Vorschriften, verwaltet die Beweissicherung und erstellt die Unterlagen, die das DFS im Rahmen einer Prüfung erwartet.

Entdecken Compliance Manager GRC

Was ist 23 NYCRR 500?

23 NYCRR Teil 500 ist die Cybersicherheitsverordnung des New Yorker Finanzdienstleistungsministeriums (Department of Financial Services, DFS), die am 1. März 2017 in Kraft trat und im November 2023 grundlegend geändert wurde. Die Verordnung verpflichtet betroffene Finanzdienstleistungsunternehmen, ein dokumentiertes Cybersicherheitsprogramm einzurichten, einen CISO zu ernennen, ein festgelegtes Bündel von Sicherheitsmaßnahmen aufrechtzuerhalten und das DFS innerhalb enger Fristen über bestimmte Cybersicherheitsvorfälle zu informieren.

Mit den Änderungen vom November 2023 (der zweiten Änderung von Teil 500) wurden Anforderungen hinzugefügt, die den Veränderungen der Bedrohungslage seit Inkrafttreten der ursprünglichen Regelung Rechnung tragen. Ausgeweitete Verschlüsselungsanforderungen. Verschärfte Vorgaben zur Multi-Faktor-Authentifizierung (MFA), einschließlich einer Umstellung auf phishing-resistente MFA, soweit dies möglich ist. Erhöhte Anforderungen an die kontinuierliche Überwachung. Ein neues 24-Stunden-Meldefenster für Lösegeldzahlungen. Und strengere Kontrollmaßnahmen für große betroffene Unternehmen (Unternehmen der Klasse A).

Für Organisationen, deren Programme zuletzt vor November 2023 umfassend bewertet wurden, bedeutet dies in der Praxis, dass die Lückenanalyse erneut durchgeführt werden muss. Da sich mehrere Anforderungen wesentlich geändert haben und die von Führungskräften jährlich verwendete Zertifizierungsformulierung die Genauigkeit der Konformitätserklärung zu einer Frage mit persönlichen Konsequenzen macht.

Wer muss die Vorschriften einhalten?

23 NYCRR 500 gilt für alle Personen, die im Rahmen einer Lizenz, Registrierung, Gründungsurkunde, Bescheinigung, Genehmigung, Akkreditierung oder einer ähnlichen Ermächtigung gemäß dem New Yorker Bankengesetz, dem Versicherungsgesetz oder dem Finanzdienstleistungsgesetz tätig sind. In der Praxis umfasst dies staatlich zugelassene Banken, Versicherungsgesellschaften, Hypothekendienstleister, Geldtransferunternehmen, Scheckeinlösungsstellen, Prämienfinanzierungsagenturen, lizenzierte Kreditgeber sowie die breitere Gruppe der vom DFS regulierten Unternehmen.

Kleinere Unternehmen können unter Umständen Anspruch auf begrenzte Ausnahmen von bestimmten verbindlichen Anforderungen haben. Die Schwelle für die begrenzte Ausnahme gemäß § 500.19 setzt drei Bedingungen voraus: weniger als 20 Mitarbeiter und unabhängige Auftragnehmer, ein Bruttojahresumsatz aus dem Geschäft in New York von weniger als 7,5 Millionen US-Dollar sowie eine Bilanzsumme zum Jahresende von weniger als 15 Millionen US-Dollar. Unternehmen, die alle drei Schwellenwerte erfüllen, kommen in den Genuss der begrenzten Ausnahme, unterliegen jedoch weiterhin der Anforderung, ein Kernprogramm zur Cybersicherheit zu unterhalten.

Mit den Änderungen vom November 2023 wurde zudem eine Kategorie „Klasse A“ für die größten betroffenen Unternehmen eingeführt, deren Einstufung anhand von Schwellenwerten für Mitarbeiterzahl, Umsatz und Vermögenswerte erfolgt. Unternehmen der Klasse A unterliegen über die Grundregelung hinausgehenden zusätzlichen Anforderungen, darunter strengere Überwachungs- und Identitätsmanagement-Kontrollen. Mittelständische und große Finanzdienstleistungsunternehmen, die in New York tätig sind, sollten prüfen, ob sie unter die Definition der Klasse A fallen, da die zusätzlichen Verpflichtungen erheblich sind.

Drittanbieter, darunter MSPs und Anbieter von Managed Security Services, sind nicht direkt vom DFS lizenziert, fallen jedoch gemäß § 500.11 in den Geltungsbereich der Vorschriften. Dieser Paragraf verpflichtet betroffene Unternehmen dazu, die Cybersicherheitsmaßnahmen von Anbietern zu überwachen, die Zugriff auf ihre Systeme oder nicht öffentliche Informationen haben.

Wesentliche Anforderungen gemäß der geänderten Verordnung

Die geänderte Vorschrift umfasst eine festgelegte Reihe von Kontrollbereichen. Zu den aus betrieblicher Sicht wichtigsten Anforderungen gehören die folgenden.

Ein dokumentiertes Cybersicherheitsprogramm, das auf einer Risikobewertung basiert und die Vertraulichkeit, Integrität und Verfügbarkeit der Informationssysteme der betroffenen Einrichtung abdeckt. Das Programm muss mindestens einmal jährlich überprüft und aktualisiert werden, wenn sich das Risikobild ändert.

Ein qualifizierter CISO – sei es intern oder extern – ist für das Programm verantwortlich und verpflichtet, dem Vorstand (oder einem gleichwertigen Leitungsgremium) jährlich über die Wirksamkeit des Programms, wesentliche Risiken und Vorfälle Bericht zu erstatten. Der Jahresbericht wurde durch die Änderungen vom November 2023 inhaltlich erweitert.

Mehrfaktorauthentifizierung bei jedem Fernzugriff auf die Informationssysteme der betroffenen Einrichtung, bei jedem Zugriff auf nicht öffentliche Informationen sowie bei allen privilegierten Konten. Mit der Änderung wurde festgelegt, dass, soweit möglich, eine phishingresistente MFA (in der Regel WebAuthn- oder FIDO2-basierte Authentifizierung) bevorzugt werden soll, da SMS-basierte und App-basierte Einmalpasswörter (OTP) mit modernen Phishing-Tools umgangen werden können.

Verschlüsselung nicht öffentlicher Informationen während der Übertragung über externe Netzwerke sowie im Ruhezustand. Alternative Ausgleichsmaßnahmen sind nur mit dokumentierter Genehmigung des CISO und einer stichhaltigen Begründung für die Ausnahme zulässig.

Asset-Management und Zugriffskontrollen. Ein aktuelles Verzeichnis aller Informationssysteme, dokumentierte Richtlinien für den Umgang mit nicht öffentlichen Informationen, das Prinzip der geringsten Berechtigungen für alle Benutzerkonten, die Verwaltung privilegierter Zugriffe für erweiterte Berechtigungen sowie jährliche Zugriffsprüfungen.

Kontinuierliche Überwachung der Informationssysteme, mindestens einmal jährlich durchgeführte Penetrationstests und mindestens alle sechs Monate durchgeführte Schwachstellenanalysen. Gerade durch die kontinuierliche Überwachung wird die 72-Stunden-Meldefrist zu einem operativ umsetzbaren Ziel und bleibt nicht nur ein Wunschziel.

Ein dokumentierter Plan zur Reaktion auf Sicherheitsvorfälle, der die Erkennung, Reaktion, Wiederherstellung, Kommunikation und Nachbetrachtung abdeckt und mindestens einmal jährlich getestet wird. Die Dokumentation der Tests ist selbst Teil der Nachweise, die das DFS im Rahmen einer Prüfung erwartet.

Jährliche Cybersicherheitsschulungen für alle Mitarbeiter, einschließlich funktionsspezifischer Schulungen für das technische Personal zu aktuellen Bedrohungen. Durch die Änderungen wurden die Anforderungen an eine angemessene Schulung verschärft.

Die Meldepflicht für Vorfälle innerhalb von 72 Stunden

Betroffene Unternehmen müssen das DFS innerhalb von 72 Stunden benachrichtigen, nachdem sie festgestellt haben, dass ein Cybersicherheitsvorfall eingetreten ist, der die Meldepflicht auslöst. Die Meldepflicht tritt ein, wenn mit hinreichender Wahrscheinlichkeit davon auszugehen ist, dass ein Vorfall den normalen Geschäftsbetrieb des Unternehmens erheblich beeinträchtigt, oder wenn der Vorfall nicht öffentliche Informationen betrifft.

Mit den Änderungen vom November 2023 wurde eine 24-Stunden-Meldepflicht für Lösegeldzahlungen eingeführt. Betroffene Unternehmen, die eine Lösegeldzahlung leisten, müssen das DFS innerhalb von 24 Stunden nach der Zahlung benachrichtigen und innerhalb von 30 Tagen eine schriftliche Beschreibung des Vorfalls sowie die Gründe für die Zahlung vorlegen.

Die jährliche Bestätigung der Einhaltung der Vorschriften muss von einem leitenden Angestellten oder Vorstandsmitglied abgegeben werden, und der Wortlaut der Bestätigung begründet eine persönliche Haftung für die Richtigkeit der Compliance-Erklärung. Die Einreichung einer Bestätigung, die den Stand des Programms falsch darstellt, ist eine Handlung, die nicht nur zivilrechtliche, sondern auch potenzielle persönliche Haftung nach sich zieht.

Die operative Herausforderung bei der 72-Stunden-Frist liegt nicht in der Zeitspanne selbst. Es geht vielmehr um die Anforderung, Ereignisse schnell genug zu erkennen, um zu wissen, dass eines stattgefunden hat. Ein Vorfall, der am Dienstagmorgen entdeckt wird, der aber bereits am vergangenen Samstag begann, hat den Großteil des 72-Stunden-Fensters bereits aufgebraucht, bevor die betroffene Stelle überhaupt bemerkt, dass er im Gange ist. Nur durch kontinuierliche Überwachung – sei es intern oder über einen MDR-Anbieter – lässt sich die Meldepflicht erfüllen, anstatt sie zu verpassen.

Anforderungen an externe Dienstleister

Gemäß Abschnitt 500.11 sind betroffene Unternehmen verpflichtet, Richtlinien und Verfahren zur Sicherheit von Drittanbietern zu implementieren. Zu den Anforderungen gehören die Identifizierung und Risikobewertung aller Drittanbieter, die Zugriff auf nicht öffentliche Informationen oder die Systeme der betroffenen Unternehmen haben, die für diese Anbieter vorgeschriebenen Mindeststandards für Cybersicherheit (einschließlich Verschlüsselung, Zugriffskontrollen, MFA und Reaktion auf Sicherheitsvorfälle), die regelmäßige Bewertung der Sicherheitspraktiken der Anbieter sowie die Aufnahme von Sicherheitsanforderungen in die Verträge, die die Geschäftsbeziehung regeln.

Für MSPs, die betroffene Finanzdienstleistungskunden in New York betreuen, ergeben sich direkte operative Auswirkungen. Der MSP muss die Cybersicherheitsstandards erfüllen, zu deren Einhaltung das betroffene Unternehmen vertraglich verpflichtet ist. Dies ist für keine der beiden Seiten optional. Das betroffene Unternehmen kann die Compliance-Anforderungen nicht einhalten, ohne diese Anforderungen an seinen MSP weiterzugeben. Der MSP kann für das betroffene Unternehmen kein tragfähiger Anbieter bleiben, ohne diese Anforderungen nachweislich zu erfüllen.

Betrachten wir ein typisches Betriebsszenario: Ein MSP betreut einen mittelgroßen Hypothekenkreditgeber in New York als primären IT- und Sicherheitsanbieter. Der Kreditgeber steht vor einer Prüfung durch das DFS. Der Prüfer verlangt Nachweise für die Durchsetzung der MFA bei allen privilegierten Zugriffen auf die Informationssysteme des Kreditgebers, einschließlich der Zugriffe durch Techniker des MSP. Die Standard-Tools des MSP unterstützen zwar die MFA, doch die Durchsetzung wurde seit Monaten nicht mehr geprüft, und drei Technikerkonten von Mitarbeitern, die das Unternehmen im letzten Quartal verlassen hatten, wurden erst verspätet deaktiviert. Der MSP wird zu einer Schwachstelle in der Compliance-Situation des Kreditinstituts, und das Kreditinstitut wird zu einer Schwachstelle in der geschäftlichen Position des MSP. Beide Probleme lassen sich darauf zurückführen, dass der MSP sein eigenes Programm nicht gemäß dem Standard betreibt, den die Vorschriften von seinem Kunden erwarten.

Die praktischen Grundvoraussetzungen für MSPs, die Finanzdienstleistungskunden in New York betreuen, sind klar und einfach. Dokumentieren Sie das Cybersicherheitsprogramm. Setzen Sie eine Phishing-resistente Multi-Faktor-Authentifizierung (MFA) für jedes Konto durch, das mit der Kundenumgebung in Berührung kommt. Halten Sie einen getesteten Plan zur Reaktion auf Sicherheitsvorfälle bereit. Führen Sie eine kontinuierliche Überwachung durch. Und bewahren Sie die Nachweise dafür auf, dass all dies tatsächlich geschieht – in einem Format, das einer Kundenprüfung standhält, denn diese Prüfung wird kommen.

Durchsetzung: Was das DFS unternommen hat

Die Durchsetzungsbilanz der DFS zeigt, dass es sich hierbei nicht um eine reine „Papiervorschrift“ handelt. Die veröffentlichten Vergleichsvereinbarungen weisen ein einheitliches Muster auf: Mängel in den Bereichen MFA, Zugriffskontrollen, Verwaltung von Drittanbietern und Fähigkeiten zur Reaktion auf Vorfälle sind die Hauptziele der Durchsetzungsmaßnahmen.

Die First American Financial Corp schloss 2021 einen Vergleich in Höhe von 500.000 US-Dollar wegen Verstößen ab, darunter das Versäumnis, angemessene Risikobewertungen durchzuführen und bekannte Schwachstellen zu beheben. Robinhood Crypto erzielte 2022 einen Vergleich in Höhe von 30 Millionen US-Dollar wegen Mängeln im Cybersicherheitsprogramm. EyeMed Vision Care schloss 2022 einen Vergleich in Höhe von 4,5 Millionen US-Dollar ab, nachdem es zu einer Datenschutzverletzung gekommen war, von der etwa 2,1 Millionen Personen betroffen waren; im Vergleich wurden Mängel bei der Zugriffsverwaltung und der Multi-Faktor-Authentifizierung (MFA) angeführt. OneMain Financial schloss 2023 einen Vergleich in Höhe von 4,25 Millionen US-Dollar wegen festgestellter Programmdefizite ab.

Jede dieser Einigungen benennt konkrete Kontrollmängel, anstatt allgemeine Verstöße gegen Compliance-Vorgaben zu ahnden, was ein klares Signal dafür gibt, worauf sich die künftige Durchsetzung voraussichtlich konzentrieren wird. MFA-Abdeckung. Disziplin bei der Zugriffsverwaltung. Behebung von Schwachstellen. Überwachung von Drittanbietern. Fähigkeit zur Reaktion auf Vorfälle.

Compliance-Roadmap für betroffene Unternehmen und deren MSPs

Die Arbeit gliedert sich in fünf Phasen.

Führen Sie eine neue Lückenanalyse anhand der geänderten Verordnung durch. Falls bei der letzten umfassenden Analyse die Fassung der Verordnung aus dem Jahr 2017 zugrunde gelegt wurde, wiederholen Sie diese Analyse unter Berücksichtigung der Änderungen vom November 2023. In mehreren Kontrollbereichen gelten neue oder verschärfte Anforderungen, und die Annahmen, auf denen Programme aus der Zeit vor 2023 basieren, sind nicht mehr zuverlässig.

Legen Sie den Schwerpunkt auf MFA und Zugriffskontrollen. Dies sind die am häufigsten genannten Mängel in den veröffentlichten Durchsetzungsmaßnahmen. Eine phishing-resistente MFA für alle privilegierten Zugriffe, alle Zugriffe auf nicht öffentliche Informationen und alle Fernzugriffe ist die unverzichtbare Grundvoraussetzung. Darüber hinaus sollten Sie die Häufigkeit der Zugriffsprüfungen sowie den Offboarding-Workflow dokumentieren, der sicherstellt, dass gesperrte Konten auch tatsächlich gesperrt werden.

Führen Sie eine kontinuierliche Überwachungslösung ein oder beauftragen Sie einen entsprechenden Dienstleister damit. Die 72-Stunden-Meldefrist erfordert Erkennungsfähigkeiten, die schnell genug sind, um meldepflichtige Vorfälle umgehend zu identifizieren. Eine Überwachung rund um die Uhr durch ein internes SOC, einen Managed-SIEM-Dienst oder einen MDR-Anbieter ist die praktische Lösung.

Überprüfen und testen Sie den Plan zur Reaktion auf Vorfälle. Führen Sie die Übung mindestens einmal jährlich durch. Dokumentieren Sie die Tests und die nach der Übung vorgenommenen Verbesserungen. Nehmen Sie den Benachrichtigungsworkflow für das DFS als eigenständiges Runbook in den Plan auf, mit namentlich genannten Verantwortlichen und einem vorformulierten Formular für die frühzeitige Benachrichtigung.

Die Sicherheit von Drittanbietern bewerten und dokumentieren. Betroffene Unternehmen sollten eine Bestandsaufnahme ihrer MSPs und anderer betroffener Anbieter vornehmen, deren Sicherheitspraktiken in festgelegten Abständen bewerten und ihre Verträge an die Anforderungen gemäß § 500.11 anpassen. MSPs sollten die Nachweisdokumente proaktiv vorbereiten, da das Warten auf das Audit des Kunden zu lange dauert.

Compliance Manager GRC unterstützt die Bewertung gemäß 23 NYCRR 500 innerhalb seiner Rahmenbibliothek und ermöglicht es den betroffenen Unternehmen und ihren IT-Teams, den Compliance-Status im Hinblick auf die geänderte Vorschrift zu verfolgen, Kontrollmaßnahmen zu dokumentieren, Bewertungen durch Dritte zu verwalten und die Nachweise zu erstellen, die das DFS im Rahmen einer Prüfung erwartet. Entdecken Sie „ Compliance Manager GRC “, um ein NYDFS-Programm kontinuierlich zu betreiben, anstatt es unter dem Druck einer Prüfung neu aufbauen zu müssen.

Die Finanzdienstleistungsunternehmen und MSPs, die die DFS-Prüfungen ohne Beanstandungen bestehen, sind nicht unbedingt diejenigen mit den teuersten Sicherheitslösungen. Es sind vielmehr diejenigen, deren Programmdokumentation der betrieblichen Realität entspricht, deren Nachweise aktuell und nicht nachträglich rekonstruiert sind und deren jährliche Zertifizierung der Zertifizierungsbeauftragte unterzeichnen kann, ohne zuvor ein ausführliches Gespräch mit einem Rechtsberater führen zu müssen. Die geänderte Vorschrift 23 NYCRR 500 ist eine bedeutende Regelung, die von einer aktiven Aufsichtsbehörde mit nachweisbarer Erfolgsbilanz durchgesetzt wird. Die Ausgangsposition für die Einhaltung dieser Vorschrift besteht darin, sie als fortlaufende Verpflichtung zu betrachten und nicht als ein Projekt, das einmalig abgeschlossen wird.

Die wichtigsten Erkenntnisse

• 23 NYCRR 500 wird aktiv durchgesetzt. Das DFS hat mehrere Strafen in Höhe von mehreren Millionen Dollar verhängt und dabei konkrete Kontrollmängel in den Bereichen MFA, Zugriffsmanagement und Reaktion auf Vorfälle angeführt. Programme, die nicht an die Änderungen vom November 2023 angepasst wurden, verstoßen gegen eine veraltete Vorschrift.
• Die 72-Stunden-Frist für die Meldung von Vorfällen und das 24-Stunden-Fenster für die Benachrichtigung über Lösegeldzahlungen erfordern eine kontinuierliche Überwachungsfähigkeit. Eine Überwachung, die sich ausschließlich auf die Geschäftszeiten beschränkt, kann keine dieser Fristen zuverlässig einhalten.
• Die Verpflichtungen von Drittanbietern gemäß § 500.11 sind eindeutig festgelegt. Betroffene Unternehmen müssen MSPs, die Zugriff auf ihre Systeme haben, Anforderungen an die Cybersicherheit auferlegen, und MSPs müssen nachweisen können, dass sie diese Anforderungen erfüllen. Beide Seiten sind gefährdet, wenn eine der beiden Seiten ihren Verpflichtungen nicht nachkommt.
• Die jährliche Bestätigung durch eine Führungskraft schafft persönliche Verantwortung für die Richtigkeit der Compliance-Erklärung. Die Kombination aus persönlicher Verantwortung und der veröffentlichten Bilanz der Durchsetzungsmaßnahmen macht Compliance zu einem Anliegen der Führungsebene und nicht nur zu einer Angelegenheit der IT-Abteilung.