Countdown zur Cybersicherheit im New Yorker Finanzdienstleistungssektor

Der Oktober ist der Monat der Cybersicherheit – eine Erinnerung für Organisationen weltweit, ihre Resilienz und Sicherheitslage zu überprüfen. Für Finanzinstitute in New York ist dies besonders dringlich: Die Frist für die letzte Phase der Einhaltung von 23 NYCRR Part 500 endet am 1. November 2025.

Die letztjährige Frist (1. November 2024) brachte weitreichende Aktualisierungen in den Bereichen Verschlüsselung, Reaktion auf Sicherheitsvorfälle und Notfallplanung mit sich. Im Mai dieses Jahres (2025) kamen weitere Anforderungen für automatisierte Schwachstellenscans und verstärkte Zugriffskontrollen hinzu. Nun läuft die Zeit erneut: Diesmal rücken Vorgaben in den Fokus, die die Multi-Faktor-Authentifizierung (MFA) ausweiten und umfassende Bestandsaufnahmen aller Assets im Unternehmen vorschreiben.

Warum so viel auf dem Spiel steht

Finanzinstitute sind auf kritische Systeme wie Großrechner angewiesen, die täglich 95 % aller bargeldlosen Transaktionen weltweit verarbeiten. Ein einziger Sicherheitsverstoß kann den Geschäftsbetrieb lahmlegen, das Kundenvertrauen zerstören und Strafzahlungen in zweistelliger Millionenhöhe nach sich ziehen.

Allzu oft sichern Unternehmen zwar Cloud- und verteilte Systeme, vernachlässigen aber den Hostzugriff und Mainframe-Umgebungen. Sicherheitslücken im Zusammenhang mit ungesichertem „Greenscreen“-Zugriff haben beispielsweise Zugangsdaten offengelegt, sensible Daten preisgegeben und die Wiederherstellungszeiten verlängert. Die hier bestehenden Compliance-Lücken sind mehr als nur IT-Versäumnisse. Diese Entwicklung führt dazu, dass sie nun zu Risiken auf Vorstandsebene werden.

Was 23 NYCRR Teil 500 vorschreibt

Die Verordnung umfasst Governance, technische Sicherheitsvorkehrungen und Resilienzmaßnahmen. Gemäß den geänderten Anforderungen müssen CISOs und Vorstände eine aktive Aufsicht führen, wesentliche Probleme melden und nachweisen, dass kritische Sicherheitsvorkehrungen getroffen wurden. Wichtige Fristen sind:

• Am 29. April 2024 trat die jährliche Pflicht zur Durchführung von Penetrationstests in Kraft, zusammen mit Aktualisierungen der Cybersicherheitsrichtlinien und der jährlichen Mitarbeiterschulung (einschließlich Social Engineering).
• Ab dem 1. November 2024 waren die Unternehmen verpflichtet, eine den Branchenstandards entsprechende Verschlüsselungsrichtlinie einzuführen, ihre Pläne für die Reaktion auf Sicherheitsvorfälle und die Geschäftskontinuität/Notfallwiederherstellung (BC/DR) zu aktualisieren und die neuen Berichtspflichten gegenüber dem CISO sowie die Aufsichtspflichten gegenüber dem Vorstand zu erfüllen.
• 1. Mai 2025 – Organisationen mussten automatisierte Schwachstellenscans einsetzen (mit manueller Überprüfung für nicht scannbare Systeme), strengere Zugriffsrechtekontrollen durchsetzen und Schutzmaßnahmen gegen Schadcode implementieren.
• 1. November 2025 – Die letzte Phase:
  • Erweiterte Multi-Faktor-Authentifizierung (Abschnitt 500.12): Für die meisten betroffenen Unternehmen muss die Multi-Faktor-Authentifizierung für jeden Benutzer implementiert werden, der auf ein Informationssystem zugreift. Für kleine Unternehmen, die unter eine begrenzte Ausnahme nach Abschnitt 500.19(a) fallen, muss die Multi-Faktor-Authentifizierung weiterhin für Fernzugriffe, Drittanbieteranwendungen mit Zugriff auf nicht-öffentliche Informationen und privilegierte Konten (mit Ausnahme von Dienstkonten, die eine interaktive Anmeldung verhindern) gelten.
  • Anlagenverwaltung (Abschnitt 500.13(a)): Verantwortliche Stellen müssen ein vollständiges, genaues und dokumentiertes Verzeichnis ihrer Informationssysteme führen, einschließlich Angaben zu Eigentum und Standort. ( Quelle )

Diese Anforderungen gelten für alle Umgebungen: Cloud, verteilte IT, Mainframes und Hostsysteme. Wenn auch nur eine davon nicht ausreichend gesichert ist, bleibt die Compliance-Strategie einer Institution unvollständig.

PCI DSS 4.0 und die wachsende Compliance-Landschaft

Die Fristen des NYDFS stehen nicht isoliert da. Parallel dazu werden die globalen Standards verschärft. Der Payment Card Industry Data Security Standard (PCI DSS) 4.0, der am 31. März 2025 in Kraft tritt, führte erweiterte Anforderungen an Verschlüsselung, Authentifizierung und kontinuierliche Überwachung in Zahlungsumgebungen ein.

NYDFS Part 500 und PCI DSS 4.0 verdeutlichen gemeinsam eine klare Tatsache: Compliance wird umfassender, kontinuierlicher und anspruchsvoller. Unternehmen, die reaktiv handeln, riskieren, in einen kostspieligen Teufelskreis des Nachholens zu geraten, während diejenigen, die proaktiv vorgehen, nicht nur Fristen einhalten, sondern auch nachhaltige Resilienz aufbauen.

Über die Einhaltung von Vorschriften hinaus: Aufbau von Cyberresilienz

Compliance mag mit einer Checkliste beginnen, ihr wahrer Wert liegt jedoch in der Resilienz. Die Erfüllung der Anforderungen von NYDFS Part 500 bedeutet, das Risiko von Datenschutzverletzungen zu reduzieren, eine schnellere Wiederherstellung nach Vorfällen zu gewährleisten und das Vertrauen von Aufsichtsbehörden, Kunden und Partnern zu stärken.

Angesichts der zunehmenden Bedrohungen durch KI und bereits in Kraft getretener globaler Regulierungen, darunter der Digital Operational Resilience Act (DORA) in der EU und PCI DSS 4.0 in Zahlungsumgebungen, stehen Finanzinstitute vor einer neuen Ära, in der die Einhaltung von Vorschriften kontinuierlich, überwacht und vernetzt ist.

Noch ein Monat: Zeit zum Handeln!

Der Countdown läuft. Nur noch wenige Wochen bis zum 1. November – CISOs müssen jetzt entschlossen handeln. Die Folgen einer Verzögerung sind zu gravierend: regulatorische Konsequenzen, Reputationsschäden und ein erhöhtes Cyberrisiko – um nur einige zu nennen.

In diesem Monat der Cybersicherheit sollten Sie nicht zulassen, dass Ihre unternehmenskritischen Systeme zu Ihrem schwächsten Glied werden.

Um CISOs und Sicherheitsverantwortliche bei der Erfüllung dieser Anforderungen zu unterstützen, bietet Rocket Software eine Checkliste zur Vorbereitung an, die Ihnen hilft, die Compliance mit Zuversicht zu erreichen und aufrechtzuerhalten.

Dieser Blogbeitrag dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.