Cyberbeveiligingsregelgeving van het NY DFS (23 NYCRR 500): wat financiële dienstverleners en hun MSP’s moeten weten

De meeste NYDFS-nalevingsprogramma’s die momenteel actief worden gebruikt, zijn opgezet op basis van de oorspronkelijke versie uit 2017 van 23 NYCRR Part 500. De wijzigingen van november 2023 hebben de vereisten ingrijpend gewijzigd, en een programma dat niet is aangepast aan de huidige regelgeving, voldoet nu aan vereisten die niet langer gelden.

Dit is van belang omdat het New York Department of Financial Services de regelgeving actief handhaaft, met boetes van een omvang die financiële afdelingen zeker opmerken. Robinhood betaalde in 2022 30 miljoen dollar. EyeMed Vision Care betaalde 4,5 miljoen dollar. OneMain Financial betaalde in 2023 4,25 miljoen dollar. Dit waren geen theoretische risico’s. Het waren handhavingsmaatregelen tegen entiteiten die, volgens de beoordeling van het DFS, de door de regelgeving vereiste controles niet hadden geïmplementeerd.

In deze gids wordt uitgelegd wat 23 NYCRR 500 precies voorschrijft volgens de gewijzigde regelgeving, wie hieraan moet voldoen, hoe de meldingstermijnen van 72 uur en 24 uur in de praktijk werken, welke verplichtingen de regelgeving oplegt aan externe dienstverleners (dat wil zeggen MSP’s), en hoe u een verdedigbare nalevingspositie kunt opbouwen in het kader van een actief onderzoek. Lees het Kaseya State of the MSP-rapport 2026 voor de bredere context op het gebied van cyberbeveiliging.

Wees de handhaving van 23 NYCRR 500 een stap voor.

Compliance Manager GRCDe NY DFS-module van [bedrijfsnaam] houdt de nalevingsstatus ten opzichte van de gewijzigde regelgeving bij, beheert het verzamelen van bewijsmateriaal en genereert de documentatie die de DFS tijdens een controle verwacht.

Ontdek Compliance Manager GRC

Wat is 23 NYCRR 500?

23 NYCRR Deel 500 is de cyberbeveiligingsverordening van het New York Department of Financial Services (DFS), die op 1 maart 2017 in werking is getreden en in november 2023 ingrijpend is gewijzigd. De verordening verplicht de onder de verordening vallende financiële dienstverleners om een gedocumenteerd cyberbeveiligingsprogramma op te zetten, een CISO aan te stellen, een vastomlijnde reeks beveiligingsmaatregelen te handhaven en het DFS binnen strakke termijnen op de hoogte te stellen van specifieke cyberbeveiligingsincidenten.

Met de wijzigingen van november 2023 (de tweede wijziging van deel 500) zijn eisen toegevoegd die recht doen aan de veranderingen in het dreigingslandschap sinds de oorspronkelijke regelgeving. Uitgebreide versleutelingsvereisten. Aangescherpte vereisten voor meervoudige authenticatie (MFA), waaronder een verschuiving naar phishingbestendige MFA waar mogelijk. Verhoogde verwachtingen ten aanzien van continue monitoring. Een nieuwe meldingstermijn van 24 uur voor het betalen van losgeld. En een strengere reeks controlemaatregelen die van toepassing zijn op grote onder de regelgeving vallende entiteiten (klasse A-bedrijven).

Voor organisaties waarvan de programma’s voor het laatst vóór november 2023 grondig zijn beoordeeld, betekent dit in de praktijk dat de gap-analyse opnieuw moet worden uitgevoerd. Verschillende vereisten zijn ingrijpend gewijzigd, en gezien de certificeringsformulering die jaarlijks door leidinggevenden wordt gebruikt, heeft de juistheid van de nalevingsverklaring persoonlijke gevolgen.

Wie moet zich hieraan houden

23 NYCRR 500 is van toepassing op elke persoon die actief is op basis van een vergunning, registratie, charter, certificaat, toestemming, accreditatie of soortgelijke machtiging krachtens de New York Banking Law, de Insurance Law of de Financial Services Law. In de praktijk betreft dit door de staat erkende banken, verzekeringsmaatschappijen, hypotheekbeheerders, geldtransactiekantoren, cheque-inwisselaars, premiefinancieringsbureaus, erkende kredietverstrekkers en de bredere groep van door het DFS gereguleerde entiteiten.

Kleinere organisaties kunnen in aanmerking komen voor beperkte vrijstellingen van bepaalde dwingende vereisten. De drempel voor de beperkte vrijstelling van §500.19 omvat drie voorwaarden: minder dan 20 werknemers en zelfstandige contractanten, minder dan 7,5 miljoen dollar aan bruto jaaromzet uit activiteiten in New York, en minder dan 15 miljoen dollar aan totale activa aan het einde van het boekjaar. Organisaties die aan alle drie de drempels voldoen, maken gebruik van de beperkte vrijstelling, maar blijven onderworpen aan de kernvereiste inzake het cyberbeveiligingsprogramma.

Met de wijzigingen van november 2023 is ook een categorie A ingevoerd voor de grootste onder de regeling vallende entiteiten, gedefinieerd aan de hand van drempels voor het aantal werknemers, de omzet en de activa. Voor bedrijven in categorie A gelden aanvullende eisen bovenop de basisregeling, waaronder strengere controles op het gebied van monitoring en identiteitsbeheer. Middelgrote en grote financiële dienstverleners die in New York actief zijn, dienen na te gaan of zij onder de definitie van categorie A vallen, aangezien de aanvullende verplichtingen van wezenlijk belang zijn.

Externe dienstverleners, waaronder MSP’s en aanbieders van beheerde beveiligingsdiensten, beschikken niet rechtstreeks over een vergunning van de DFS, maar vallen wel onder het toepassingsgebied van de nalevingsvoorschriften op grond van §500.11. Deze bepaling verplicht betrokken entiteiten om toezicht te houden op de cyberbeveiligingspraktijken van dienstverleners die toegang hebben tot hun systemen of niet-openbare informatie.

Belangrijkste vereisten krachtens de gewijzigde verordening

De gewijzigde regel heeft betrekking op een welomschreven reeks controlegebieden. Tot de operationeel meest belangrijke vereisten behoren de volgende.

Een gedocumenteerd cyberbeveiligingsprogramma, gebaseerd op een risicobeoordeling, dat betrekking heeft op de vertrouwelijkheid, integriteit en beschikbaarheid van de informatiesystemen van de betrokken entiteit. Het programma moet ten minste eenmaal per jaar worden geëvalueerd en worden bijgewerkt wanneer het risicobeeld verandert.

Een gekwalificeerde CISO, in eigen beheer of uitbesteed, die verantwoordelijk is voor het programma en verplicht is om jaarlijks aan de raad van bestuur (of een gelijkwaardig bestuursorgaan) verslag uit te brengen over de doeltreffendheid van het programma, de wezenlijke risico’s en de incidenten. Het jaarverslag is door de wijzigingen van november 2023 inhoudelijker geworden.

Meervoudige authenticatie bij alle externe toegang tot de informatiesystemen van de betrokken entiteit, alle toegang tot niet-openbare informatie en alle bevoorrechte accounts. Het amendement geeft de voorkeur aan phishingbestendige MFA (doorgaans op WebAuthn of FIDO2 gebaseerde authenticatie) waar mogelijk, vanuit het besef dat op sms en apps gebaseerde eenmalige wachtwoorden (OTP’s) door moderne phishing-kits kunnen worden omzeild.

Versleuteling van niet-openbare informatie tijdens verzending via externe netwerken en in opgeslagen vorm. Alternatieve compenserende maatregelen zijn alleen toegestaan met gedocumenteerde goedkeuring van de CISO en een aantoonbare reden voor de uitzondering.

Beheer van bedrijfsmiddelen en toegangscontroles. Een bijgehouden inventaris van alle informatiesystemen, gedocumenteerde beleidsregels voor de omgang met niet-openbare informatie, het principe van minimale toegangsrechten voor alle gebruikersaccounts, beheer van geprivilegieerde toegang voor verhoogde rechten, en jaarlijkse toegangscontroles.

Voortdurende monitoring van informatiesystemen, penetratietests die ten minste eenmaal per jaar worden uitgevoerd, en kwetsbaarheidsbeoordelingen die ten minste om de zes maanden plaatsvinden. Juist dankzij die voortdurende monitoring is de rapportagetermijn van 72 uur in de praktijk haalbaar en niet louter een streefdoel.

Een gedocumenteerd plan voor incidentafhandeling dat betrekking heeft op detectie, reactie, herstel, communicatie en evaluatie na het incident, en dat ten minste eenmaal per jaar wordt getest. De documentatie van deze tests maakt zelf deel uit van het bewijsmateriaal dat de DFS tijdens een controle verwacht.

Jaarlijkse cybersecuritytraining voor alle medewerkers, met functiespecifieke training voor technisch personeel over actuele bedreigingen. Door de wijzigingen zijn de eisen voor wat als adequate training geldt, aangescherpt.

De verplichting om incidenten binnen 72 uur te melden

De betrokken entiteiten moeten het DFS binnen 72 uur op de hoogte stellen zodra zij vaststellen dat zich een cyberveiligheidsincident heeft voorgedaan dat aan de meldingsdrempel voldoet. Aan de drempel is voldaan wanneer een incident een redelijke kans inhoudt dat de normale bedrijfsvoering van de entiteit wezenlijk wordt geschaad, of wanneer het incident betrekking heeft op niet-openbare informatie.

Met de wijzigingen van november 2023 is een meldingsplicht van 24 uur voor losgeldbetalingen ingevoerd. Betrokken entiteiten die losgeld betalen, moeten het DFS binnen 24 uur na de betaling hiervan op de hoogte stellen en binnen 30 dagen een schriftelijke toelichting geven op de gebeurtenis en de redenen voor de betaling.

Een leidinggevende of bestuurder is verplicht jaarlijks een verklaring van naleving af te geven, en de bewoordingen van deze verklaring leggen de persoonlijke verantwoordelijkheid voor de juistheid van de nalevingsverklaring bij de ondertekenaar. Het indienen van een verklaring die een verkeerd beeld geeft van de stand van zaken van het programma is een handeling die niet alleen tot civielrechtelijke aansprakelijkheid kan leiden, maar mogelijk ook tot persoonlijke aansprakelijkheid.

De operationele uitdaging bij de 72-uurstermijn ligt niet in de tijdslijn zelf. Het gaat om de eis dat gebeurtenissen snel genoeg moeten worden gedetecteerd om te weten dat er iets is gebeurd. Een incident dat dinsdagochtend wordt ontdekt, maar in feite al de afgelopen zaterdag is begonnen, heeft het grootste deel van de 72-uurstermijn al opgebruikt voordat de organisatie doorheeft dat er iets aan de hand is. Door continue monitoring – of dit nu intern plaatsvindt of via een MDR-aanbieder wordt geleverd – kan aan de rapportageverplichting worden voldaan in plaats van dat deze wordt gemist.

Vereisten voor externe dienstverleners

Artikel 500.11 schrijft voor dat betrokken entiteiten beleidsregels en procedures moeten invoeren met betrekking tot de beveiliging van externe dienstverleners. De vereisten omvatten onder meer de identificatie en risicobeoordeling van alle externe dienstverleners die toegang hebben tot niet-openbare informatie of tot de systemen van de betrokken entiteit, de minimale cyberbeveiligingsmaatregelen die van deze dienstverleners worden verlangd (waaronder versleuteling, toegangscontroles, MFA en incidentrespons), een periodieke beoordeling van de beveiligingsmaatregelen van de dienstverleners, en het opnemen van beveiligingsvereisten in de contracten die de relatie regelen.

Voor MSP’s die onder de regeling vallende klanten in de financiële dienstverlening in New York bedienen, zijn de operationele gevolgen direct. De MSP moet voldoen aan de cyberbeveiligingsnormen die de onder de regeling vallende entiteit contractueel verplicht is op te leggen. Dit is voor geen van beide partijen optioneel. De onder de regeling vallende entiteit kan niet aan de voorschriften blijven voldoen zonder deze eisen aan haar MSP op te leggen. De MSP kan geen levensvatbare leverancier voor de onder de regeling vallende entiteit blijven zonder aantoonbaar aan deze eisen te voldoen.

Laten we eens kijken naar een veelvoorkomend scenario. Een MSP fungeert als de belangrijkste IT- en beveiligingsleverancier voor een middelgrote hypotheekverstrekker in New York. De hypotheekverstrekker moet een inspectie van het DFS ondergaan. De inspecteur vraagt om bewijs dat er voor alle bevoorrechte toegang tot de informatiesystemen van de hypotheekverstrekker, inclusief toegang door technici van de MSP, meervoudige authenticatie (MFA) wordt afgedwongen. In de standaardtools van de MSP is MFA weliswaar ingeschakeld, maar de naleving is al maanden niet gecontroleerd, en drie accounts van technici die het bedrijf in het afgelopen kwartaal hebben verlaten, zijn te laat gedeactiveerd. De MSP vormt hierdoor een zwakke schakel in de nalevingspositie van de hypotheekverstrekker, en de hypotheekverstrekker vormt op zijn beurt een zwakke schakel in de commerciële positie van de MSP. Beide problemen zijn terug te voeren op het feit dat de MSP zijn eigen programma niet uitvoert volgens de norm die de regelgeving van zijn klant verwacht.

De praktische uitgangspunten voor MSP’s die financiële dienstverleners in New York bedienen, zijn duidelijk. Leg het cyberbeveiligingsprogramma vast. Zorg ervoor dat elke account die in contact komt met de omgeving van een klant is beveiligd met phishingbestendige meervoudige authenticatie (MFA). Zorg voor een getest plan voor incidentrespons. Voer continue monitoring uit. En bewaar het bewijs dat dit alles daadwerkelijk gebeurt, in een vorm die een audit door de klant doorstaat, want die audit komt eraan.

Handhaving: wat het DFS heeft gedaan

Uit de handhavingsgeschiedenis van de DFS blijkt dat dit geen regelgeving op papier is. Het patroon in de gepubliceerde schikkingen is consistent: tekortkomingen op het gebied van MFA, toegangscontroles, het beheer van derde partijen en de capaciteit om op incidenten te reageren vormen de belangrijkste handhavingsdoelen.

First American Financial Corp sloot in 2021 een schikking van 500.000 dollar wegens overtredingen, waaronder het nalaten van adequate risicobeoordelingen en het niet aanpakken van bekende kwetsbaarheden. Robinhood Crypto bereikte in 2022 een schikking van 30 miljoen dollar vanwege tekortkomingen in het cyberbeveiligingsprogramma. EyeMed Vision Care sloot in 2022 een schikking van 4,5 miljoen dollar na een datalek waarbij ongeveer 2,1 miljoen personen betrokken waren; in de schikking werd gewezen op tekortkomingen in het toegangsbeheer en MFA. OneMain Financial sloot in 2023 een schikking van 4,25 miljoen dollar wegens vastgestelde tekortkomingen in het programma.

In elk van deze schikkingen worden specifieke tekortkomingen in de controle genoemd, in plaats van een algemene overtreding te bestraffen, wat een duidelijk signaal geeft over waar de handhaving zich in de toekomst waarschijnlijk op zal richten. MFA-dekking. Discipline op het gebied van toegangsbeheer. Het verhelpen van kwetsbaarheden. Toezicht op derde partijen. Capaciteit voor incidentrespons.

Stappenplan voor naleving voor betrokken entiteiten en hun MSP’s

Het werk is onderverdeeld in vijf fasen.

Voer een nieuwe lacuneanalyse uit aan de hand van de gewijzigde regelgeving. Als bij de laatste uitgebreide analyse de versie van de regel uit 2017 is gebruikt, herhaal deze dan aan de hand van de wijzigingen van november 2023. Voor verschillende controlegebieden gelden nieuwe of aangescherpte eisen, en aannames die in programma’s van vóór 2023 zijn verwerkt, zijn niet langer betrouwbaar.

Geef prioriteit aan MFA en toegangscontroles. Dit zijn de tekortkomingen die het vaakst worden genoemd in de gepubliceerde handhavingsmaatregelen. Phishingbestendige MFA voor alle bevoorrechte toegang, alle toegang tot niet-openbare informatie en alle toegang op afstand is het onmisbare uitgangspunt. Leg daar bovendien de frequentie van de toegangsbeoordelingen en de offboarding-workflow vast, zodat gewaarborgd is dat ingetrokken accounts daadwerkelijk worden ingetrokken.

Zorg voor continue monitoringcapaciteit, of besteed dit uit. De meldingstermijn van 72 uur vereist detectiecapaciteit die snel genoeg is om meldingsplichtige voorvallen onmiddellijk te identificeren. 24/7-monitoring via een intern SOC, een beheerde SIEM-dienst of een MDR-aanbieder is de praktische oplossing.

Evalueer en test het incidentresponsplan. Voer de oefening minstens één keer per jaar uit. Leg de testresultaten en de verbeteringen na afloop van de oefening vast. Neem de meldingsprocedure voor de DFS op als een apart runbook in het plan, met duidelijk aangewezen verantwoordelijken en een vooraf opgesteld conceptformulier voor vroegtijdige melding.

Beoordeel en documenteer de beveiliging van derde partijen. Betrokken entiteiten dienen een inventaris op te maken van hun MSP’s en andere betrokken dienstverleners, hun beveiligingspraktijken met een vastgestelde frequentie te beoordelen en contracten aan te passen aan de vereisten van §500.11. MSP’s dienen het bewijsmateriaal proactief voor te bereiden, want wachten op de audit van de klant is te lang wachten.

Compliance Manager GRC ondersteunt de beoordeling op basis van 23 NYCRR 500 binnen zijn frameworkbibliotheek, waardoor betrokken entiteiten en hun IT-teams de nalevingsstatus ten opzichte van de gewijzigde regel kunnen bijhouden, controlemaatregelen kunnen documenteren, beoordelingen door derden kunnen beheren en het bewijsmateriaal kunnen genereren dat het DFS tijdens een inspectie verwacht. Bezoek Compliance Manager GRC voor meer informatie over de operationele kant van het continu uitvoeren van een NYDFS-programma, in plaats van dit onder druk van een inspectie opnieuw op te zetten.

De financiële dienstverleners en MSP’s die de DFS-inspecties zonder problemen doorstaan, zijn niet per se de bedrijven met de duurste beveiligingsopstellingen. Het zijn de bedrijven waarvan de programmadocumentatie overeenkomt met de operationele praktijk, waarvan het bewijsmateriaal actueel is in plaats van achteraf gereconstrueerd, en waarvan de jaarlijkse certificering zodanig is dat de certificerende functionaris deze kan ondertekenen zonder eerst een grondig overleg met de juridische afdeling te hoeven voeren. De gewijzigde 23 NYCRR 500 is een betekenisvolle regelgeving die wordt gehandhaafd door een actieve toezichthouder met een bewezen staat van dienst. Het uitgangspunt voor naleving is om de regel te beschouwen als een voortdurende discipline, niet als een project dat eenmaal afgerond is.

Belangrijkste punten

• 23 NYCRR 500 wordt strikt gehandhaafd. Het DFS heeft meerdere boetes van miljoenen dollars opgelegd wegens specifieke tekortkomingen in de controlemaatregelen op het gebied van MFA, toegangsbeheer en incidentrespons. Programma’s die nog niet zijn aangepast aan de wijzigingen van november 2023, werken volgens een verouderde regel.
• De termijn van 72 uur voor het melden van incidenten en de termijn van 24 uur voor het melden van losgeldbetalingen vereisen een continue detectiecapaciteit. Monitoring die beperkt blijft tot kantooruren volstaat niet om aan beide termijnen op betrouwbare wijze te voldoen.
• De verplichtingen van externe dienstverleners op grond van §500.11 zijn duidelijk omschreven. Betrokken entiteiten moeten cyberbeveiligingseisen opleggen aan MSP’s die toegang hebben tot hun systemen, en MSP’s moeten kunnen aantonen dat zij aan die eisen voldoen. Beide partijen lopen risico als een van beide partijen tekortschiet.
• Door de jaarlijkse certificering door een leidinggevende wordt persoonlijke verantwoordelijkheid gecreëerd voor de juistheid van de nalevingsverklaring. De combinatie van persoonlijke verantwoordelijkheid en het gepubliceerde handhavingsoverzicht zorgt ervoor dat naleving een aandachtspunt op directieniveau wordt, en niet langer uitsluitend een zaak van de IT-afdeling.