31 oktober 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
NYDFS Pentest: Wat 23 NYCRR Part 500 Vraagt van Banken, Verzekeraars, Betaalinstellingen en Cryptobedrijven met een Vergunning in New York
Het Second Amendment op de cyberregelgeving van New York maakte van penetratietesten een jaarlijkse verplichting, van binnen én van buiten de systeemgrens, gefaseerd ingevoerd tussen december 2023 en november 2025. Europese financiële instellingen met een New Yorkse vestiging of vergunning vallen eronder, naast DORA. Deze gids legt sectie 500.5 en de secties eromheen uit, wat Class A-bedrijven extra verschuldigd zijn en waarvoor de CISO en een senior bestuurder ieder jaar in april tekenen.
Wat 23 NYCRR Part 500 is en voor wie het geldt
Part 500 van Titel 23 van de New York Codes, Rules and Regulations is de Cybersecurity Regulation van het New York State Department of Financial Services (NYDFS). Zij trad in maart 2017 in werking en was de eerste Amerikaanse financiële regelgeving die concrete cybersecuritymaatregelen voorschreef in plaats van principes. Het Second Amendment, aangenomen op 1 november 2023, herschreef grote delen ervan met gefaseerde ingangsdata: de nieuwe meldplichten voor incidenten en afpersingsbetalingen vanaf 1 december 2023, de meeste nieuwe maatregelen vanaf 29 april 2024, een volgende reeks vanaf 1 november 2024 en de laatste onderdelen (universele multifactorauthenticatie onder 500.12, de asset-inventaris onder 500.13 en de Class A-eisen voor endpointdetectie en logging onder 500.14(b)) vanaf 1 november 2025. In 2026 is de regelgeving volledig van kracht.
Een covered entity is iedere persoon die opereert onder, of verplicht is te opereren onder, een vergunning, registratie, charter, certificaat, toestemming, accreditatie of vergelijkbare machtiging krachtens de Banking Law, de Insurance Law of de Financial Services Law van de staat New York. In de praktijk gaat het om banken met een New Yorks charter of vergunning en de New Yorkse bijkantoren van buitenlandse banken, verzekeraars en verzekeringstussenpersonen, hypotheekverstrekkers en -beheerders, geldtransactiekantoren, vergunde kredietverstrekkers en de virtual currency-bedrijven met een BitLicense of een limited purpose trust charter. Voor de kleinste entiteiten (minder dan 20 medewerkers, minder dan USD 7,5 miljoen omzet in New York of minder dan USD 15 miljoen aan activa, inclusief gelieerde ondernemingen) bestaan beperkte vrijstellingen, maar ook vrijgestelde entiteiten houden een kernset verplichtingen.
De reikwijdte is internationaal. Een Nederlandse of Europese bank met een bijkantoor in New York, een Europese verzekeraar met een in New York vergunde dochter, of een betaal- of cryptobedrijf met een New Yorkse vergunning is een covered entity voor de systemen die dat vergunde bedrijf ondersteunen. De regelgeving geldt naast, niet in plaats van, DORA, NIS2 en het toezicht van DNB en AFM in het thuisland.
Sectie 500.5: kwetsbaarheidsbeheer, lid voor lid
Vóór het Second Amendment vroeg 500.5 om een jaarlijkse penetratietest óf continue monitoring, naar keuze van de entiteit. De gewijzigde sectie schaft die keuze af.
500.5(a)(1): jaarlijkse penetratietest van binnen en van buiten
Het cybersecurityprogramma moet penetratietesten omvatten van informatiesystemen, zowel van binnen als van buiten de systeemgrenzen, uitgevoerd door een gekwalificeerde interne of externe partij, minimaal jaarlijks. De woorden 'van binnen en van buiten' zijn bewust gekozen: alleen een externe test van de perimeter voldoet niet meer aan de sectie. Toezichthouders verwachten een intern assumed-breach-onderdeel dat meet wat een aanvaller kan doen zodra een werkplek of een leveranciersverbinding is gecompromitteerd.
500.5(a)(2): geautomatiseerde scans plus handmatige beoordeling
Geautomatiseerde scans van informatiesystemen, en een handmatige beoordeling van systemen die niet door zulke scans worden gedekt, om kwetsbaarheden te ontdekken, te analyseren en te rapporteren, met een frequentie die de risicobeoordeling bepaalt en direct na iedere materiële systeemwijziging. De clausule over handmatige beoordeling is relevant voor legacy kernsystemen, mainframes, OT en appliances waarop scanners niet kunnen inloggen; de regelgeving verwacht dat iemand er toch naar kijkt.
500.5(b): een proces om nieuwe kwetsbaarheden te volgen
De entiteit moet een proces hebben om tijdig op de hoogte te zijn van nieuwe beveiligingskwetsbaarheden, wat in de praktijk neerkomt op abonnementen op leveranciersadviezen en kwetsbaarheidsinformatie voor de technologie in de asset-inventaris, en een gedocumenteerde route van advies naar triage.
500.5(c): tijdig herstel, geprioriteerd op risico
Kwetsbaarheden moeten tijdig worden verholpen, met prioriteit op basis van het risico dat zij vormen. Toezichthouders toetsen dit met steekproeven: neem een kritieke bevinding uit de laatste penetratietest en volg haar naar het ticket, de fix en de hertest. Breekt het spoor, dan is de bevinding naast een technische ook een governancebevinding.
De secties die een testprogramma raakt
Sectie 500.5 is waar de penetratietest wordt vereist. Verschillende andere secties zijn waar de resultaten worden gebruikt.
| Sectie | Eis, in het kort | Hoe penetratietesten eraan bijdraagt |
|---|---|---|
| 500.9 Risicobeoordeling | Periodieke risicobeoordeling, minimaal jaarlijks herzien en bijgewerkt na materiële wijzigingen, die het ontwerp van het programma stuurt | Testbevindingen zijn de meest concrete input voor de risicobeoordeling; omgekeerd bepaalt de risicobeoordeling de scope en diepte van de volgende test |
| 500.12 Multifactorauthenticatie | MFA voor iedere persoon die toegang heeft tot een informatiesysteem van de entiteit, met beperkte door de CISO goedgekeurde compenserende maatregelen (volledig van kracht sinds 1 november 2025) | Testers verifiëren dekking en weerbaarheid: legacy protocollen die MFA omzeilen, phishbare factoren en serviceaccounts die buiten het beleid vallen |
| 500.13 Asset-inventaris | Een volledige, onderhouden inventaris van informatiesystemen met eigenaar, locatie, classificatie, einde van ondersteuning en hersteldoelstellingen | Discovery tijdens de test vindt assets die in de inventaris ontbreken; de inventaris bepaalt op zijn beurt wat de test moet dekken |
| 500.14 Monitoring en training | Risicogebaseerde monitoring van gebruikersactiviteit, bescherming tegen kwaadaardige code, jaarlijkse training inclusief social engineering; Class A: EDR en gecentraliseerde logging met alertering | De interne test is een live validatie van detectie: wat het SOC zag, wanneer, en wat het miste |
| 500.16 Incident response en BCDR | Schriftelijke plannen voor incident response en bedrijfscontinuïteit, minimaal jaarlijks getest met senior bestuurders, inclusief het herstellen vanaf back-ups | Een assumed-breach-test met ransomwaredoelen oefent het plan tegen een realistisch scenario in plaats van een tabletop |
| 500.17 Meldingen en certificering | Melding binnen 72 uur van cyberincidenten, binnen 24 uur van afpersingsbetalingen, jaarlijkse certificering of erkenning van niet-naleving vóór 15 april | Het testrapport en het hertestbewijs maken deel uit van het dossier waarop de CISO en de senior bestuurder zich bij ondertekening baseren |
| 500.2(c) Onafhankelijke audit (Class A) | Class A-bedrijven moeten het cybersecurityprogramma minimaal jaarlijks onafhankelijk laten auditen | Auditors nemen steekproeven uit het testprogramma; een actueel, goed gescopet rapport met gesloten bevindingen verkort de audit |
Class A-bedrijven en de jaarlijkse certificering
Het Second Amendment creëerde de categorie Class A voor de grootste covered entities: minimaal USD 20 miljoen bruto jaaromzet in elk van de laatste twee boekjaren uit de activiteiten van de entiteit en de New Yorkse activiteiten van haar gelieerde ondernemingen, gecombineerd met ofwel meer dan 2.000 medewerkers (inclusief gelieerde ondernemingen, waar ook gevestigd) ofwel meer dan USD 1 miljard bruto jaaromzet van de entiteit en alle gelieerde ondernemingen samen. Class A-bedrijven dragen extra verplichtingen: een jaarlijkse onafhankelijke audit van het cybersecurityprogramma (500.2(c)), een oplossing voor privileged access management en het geautomatiseerd blokkeren van veelgebruikte wachtwoorden (500.7(c)), en endpoint detection and response plus gecentraliseerde logging met alertering (500.14(b)). Voor een Class A-bedrijf is de interne penetratietest tevens het bewijs voor 500.14(b): een aanvaller die lateraal door de omgeving beweegt, moet de EDR en de SIEM doen afgaan, en gebeurt dat niet, dan wil de toezichthouder weten waarom.
Iedere covered entity, Class A of niet, dient vóór 15 april een jaarlijkse verklaring in onder 500.17(b). Dat is ofwel een certificering van materiële naleving over het voorgaande kalenderjaar, ofwel een schriftelijke erkenning van niet-naleving die de niet-nageleefde secties en een hersteltijdlijn benoemt. De verklaring moet worden ondertekend door de hoogste bestuurder van de entiteit en door haar CISO, en de entiteit moet de onderliggende stukken vijf jaar bewaren. Die handtekening is wat Part 500 onderscheidt van de meeste kaders: een bestuurder verklaart persoonlijk dat de penetratietest onder 500.5 heeft plaatsgevonden, van binnen en van buiten, en dat bevindingen zijn verholpen. De kwaliteit van het testrapport bepaalt hoe comfortabel die handtekening is.
Wat toezichthouders en de ondertekenende bestuurders verwachten te zien
NYDFS onderzoekt via documentverzoeken en interviews. Dit zijn de stukken die een goed geleid programma bij het eerste verzoek kan overleggen.
- Een penetratietestrapport van de afgelopen 12 maanden met een scopeverklaring die expliciet zowel externe (internet-facing) als interne (assumed-breach) tests dekt van de systemen achter het vergunde bedrijf
- De kwalificaties van de testende partij: testers bij naam, certificeringen, onafhankelijkheid van de teams die de geteste systemen beheren
- Een methodiekverwijzing (NIST SP 800-115, PTES, OWASP) en bewijs dat handmatig is getest, niet alleen geautomatiseerd gescand
- Scanschema's en -resultaten met de frequentie die de risicobeoordeling belooft, plus de handmatige beoordeling van systemen die scanners niet kunnen dekken
- Een herstellogboek dat iedere bevinding koppelt aan een eigenaar, een uit de risicoklasse afgeleide deadline, de fix en het hertestbewijs
- De actuele risicobeoordeling (500.9) die laat zien hoe testresultaten erin zijn verwerkt en hoe zij de scope van de volgende test heeft bepaald
- Het detectieverslag van de interne test: gegenereerde alerts, tijd tot detectie, tijd tot reactie en vastgestelde gaten (cruciaal voor Class A-bedrijven onder 500.14(b))
- Bewijs dat de plannen voor incident response en BCDR in het afgelopen jaar zijn getest (500.16), het liefst tegen het scenario dat de interne test opleverde
- De ondertekende 500.17(b)-verklaring over het voorgaande jaar en het dossier met onderliggende stukken
Part 500 naast DORA, NIS2, GLBA en SOC 2
Internationale financiële groepen hebben zelden met één toezichthouder te maken. Het New Yorkse bijkantoor van een Nederlandse bank valt onder Part 500 en op groepsniveau onder DORA, met DNB als toezichthouder; een Amerikaanse verzekeraar met Europese activiteiten kan via een dochter onder NIS2 vallen; een fintech kan een New Yorkse vergunning hebben, voor andere activiteiten onder de Safeguards Rule van de FTC vallen en voor zijn zakelijke klanten een SOC 2-rapport voeren. De testverplichtingen overlappen meer dan zij botsen. DORA-artikel 24 en 25 vereisen een jaarlijks, risicogebaseerd testprogramma voor systemen achter kritieke functies; Part 500 vereist jaarlijkse penetratietesten van binnen en van buiten van de informatiesystemen achter het vergunde bedrijf; de Safeguards Rule vereist jaarlijkse penetratietesten en halfjaarlijkse kwetsbaarheidsbeoordelingen voor instellingen onder FTC-toezicht; SOC 2 verwacht testen als bewijs voor de monitoringcriteria.
Eén programma kan al deze kaders dienen als de scopeverklaring daarvoor is geschreven. De praktische aanpak is één jaarlijkse opdracht waarvan het scopedocument ieder systeem koppelt aan de regelgeving die het dekt, waarvan het rapport per bevinding de relevante sectie of het relevante artikel citeert, en waarvan het hertestbewijs in ieder toezichtdossier wordt gearchiveerd. Wat niet overdraagbaar is, is de New Yorkse certificering: hoeveel kaders de test ook dient, een bestuurder en de CISO tekenen specifiek voor Part 500, dus het dossier voor die handtekening moet met dat doel worden samengesteld.
Hoe HackersHub Part 500-naleving ondersteunt
Wij scopen de jaarlijkse opdracht op de informatiesystemen achter het in New York vergunde bedrijf, testen ze van buiten (de internet-facing perimeter, externe toegang, klant- en partnerportalen) en van binnen (een assumed-breach-positie op het kantoornetwerk of via een leveranciersverbinding), en behandelen het detectieverslag als oplevering, zodat de test ook 500.14 aantoont. Voor verzekeraars en kredietverstrekkers met kernsystemen die scanners niet bereiken, voeren wij de handmatige beoordeling uit die 500.5(a)(2) vraagt. Het rapport koppelt iedere bevinding aan de Part 500-sectie waarop zij betrekking heeft, draagt een risicoklasse waarop uw hersteltermijnen kunnen aansluiten, en bevat een hertest zodat het herstellogboek met bewijs sluit.
Testers zijn OSCP-gecertificeerd en worden in het rapport bij naam genoemd, wat de eis van een 'gekwalificeerde partij' in 500.5 rechtstreeks beantwoordt. HackersHub is gevestigd in Amsterdam, Nederland en werkt voor financiële instellingen aan beide zijden van de Atlantische Oceaan; voor in New York gereguleerde entiteiten testen wij op afstand binnen afgesproken vensters en Amerikaanse kantooruren, en voor Europese groepen stemmen wij de Part 500-opdracht af op het DORA-programma, zodat één penetratietest beide dossiers dient.
Veelgestelde vragen
Bereidt u het dossier voor uw certificering van 15 april voor?
Wij testen van binnen en van buiten de grens, leggen vast wat uw verdediging detecteerde en rapporteren iedere bevinding tegen de Part 500-sectie waarop zij betrekking heeft. Praat met een expert over de scoping vóór uw volgende cyclus.