NYDFS Teil 500 und KI: Was die New Yorker Cybersecurity-Regulierung für das Agenten-Governance verlangt

Finanzdienstleister in New York setzen KI-Agents in den Bereichen Mandantenberichte, Underwriting, Schadenbearbeitung, Betrugserkennung und regulatorische Workflows ein. Die meisten dieser Workflows greifen auf nicht-öffentliche Informationen zu – eine Kategorie sensibler Kundendaten, die durch 23 NYCRR Part 500 geschützt werden soll. Damit fallen KI-Agent-Deployments eindeutig in den Compliance-Bereich, den das New York Department of Financial Services seit Inkrafttreten des Second Amendment im November 2023 mit zunehmender Strenge durchsetzt.

Im Oktober 2024 hat die NYDFS ihre Position klargestellt. Ein Branchenbrief von Superintendent Adrienne Harris verdeutlichte, dass die Cybersecurity Regulation bereits verlangt, dass betroffene Unternehmen KI-bezogene Cybersecurity-Risiken bewerten und adressieren – einschließlich Risiken aus eigenen KI-Deployments. Eine neue Regulierung war nicht erforderlich. Das bestehende Part 500-Framework gilt direkt für KI-Agent-Workflows, die auf nicht-öffentliche Informationen zugreifen.

Dieser Beitrag erläutert, welche Anforderungen Part 500 an KI-fähige Workflows stellt, was die Leitlinien vom Oktober 2024 ergänzen, wo KI-Deployments Compliance-Lücken schaffen und wie betroffene Unternehmen eine belastbare Cybersecurity-Strategie für KI-Agent-Zugriffe auf nicht-öffentliche Informationen aufbauen können.

Executive Summary

Kernaussage: Die zentralen Anforderungen von NYDFS Part 500 – Risikobewertung, Zugriffskontrollen, Audit-Trails, Drittanbieter-Management und Incident Response – gelten für KI-Agent-Deployments, die auf nicht-öffentliche Informationen zugreifen. Das NYDFS-Schreiben vom Oktober 2024 bestätigte diese Auslegung und stellt klar, dass betroffene Unternehmen KI-spezifische Risiken in alle Komponenten ihres Cybersecurity-Programms integrieren müssen. Unternehmen, die KI in Workflows mit nicht-öffentlichen Informationen einsetzen, ohne Risikobewertungen, Zugriffskontrollrichtlinien und Vendor-Management-Frameworks zu aktualisieren, sind heute nicht konform mit Part 500.

Warum das relevant ist: Die NYDFS hat mehrfach mit Millionenstrafen und gezielten Maßnahmen gegen einzelne Führungskräfte gezeigt, wie ernst sie es meint. Das Second Amendment führte persönliche Haftung auf Leitungsebene ein – CISOs und die ranghöchste Führungskraft müssen jährlich eine Zertifizierung der wesentlichen Compliance unterzeichnen. Jedes Unternehmen, dessen KI-Agents auf nicht-öffentliche Informationen zugreifen, ohne die von Part 500 geforderten Zugriffskontrollen, Audit-Trails und Risikobewertungen, zertifiziert Compliance für Kontrollen, die gar nicht existieren.

Wichtige Erkenntnisse

1. NYDFS Part 500 gilt bereits für KI-Agent-Zugriffe auf nicht-öffentliche Informationen – das Branchenschreiben vom Oktober 2024 bestätigte dies ohne neue Anforderungen. Unternehmen dürfen KI-Governance nicht als zukünftige Compliance-Pflicht behandeln. Das bestehende Framework der Cybersecurity Regulation – Risikobewertung, Zugriffskontrollen, Audit-Trails – gilt jetzt für KI-Systeme, und NYDFS-Prüfer bewerten die Compliance entsprechend.
2. Risikobewertungen müssen gezielt KI-bezogene Risiken adressieren. Die Risikobewertung nach Part 500 (Section 500.9) verlangt regelmäßige Aktualisierungen bei Änderungen an Informationssystemen oder Geschäftsprozessen. Der Einsatz von KI-Agents in Workflows mit nicht-öffentlichen Informationen ist eine wesentliche Änderung. Risikobewertungen, die vor KI-Deployments erstellt wurden oder KI nur allgemein behandeln, erfüllen diese Anforderung nicht.
3. Zugriffskontrollen für KI-Agents müssen die spezifische Bedrohung durch KI-unterstützte Angriffe adressieren. Die Leitlinien vom Oktober 2024 betonen, dass MFA-Methoden, die durch KI-unterstützte Deepfakes kompromittiert werden können – etwa SMS, Sprach- und Video-Authentifizierung – für den Schutz nicht-öffentlicher Informationen in einer KI-Umgebung unzureichend sind. Zugriffskontrollen für menschliche Anwender und KI-Agents müssen KI-manipulierte Authentifizierungsangriffe abwehren können.
4. Drittanbieter-KI-Vendoren unterliegen denselben Vendor-Management-Pflichten wie jeder andere Dienstleister mit Zugriff auf nicht-öffentliche Informationen. Wenn die Infrastruktur eines KI-Vendors nicht-öffentliche Informationen im Auftrag eines Unternehmens verarbeitet, gilt dieser Vendor als Drittanbieter nach Part 500 und muss die in Section 500.11 geforderten Mindeststandards für Cybersecurity erfüllen. Unternehmen können ihre Part 500-Compliance nicht auf die Zusicherungen eines KI-Vendors auslagern.
5. Jährliche Compliance-Zertifizierungen müssen die tatsächlichen KI-Governance-Kontrollen widerspiegeln, nicht bloß angestrebte. Das Second Amendment verlangt, dass CISOs und die ranghöchste Führungskraft jährlich die wesentliche Compliance zertifizieren. Unternehmen, deren KI-Agents auf nicht-öffentliche Informationen zugreifen, ohne die von Part 500 geforderten Zugriffskontrollen, Audit-Trails und Risikobewertungen, zertifizieren Compliance für Kontrollen, die nicht existieren – was selbst ein Durchsetzungsrisiko darstellt.

Was NYDFS Part 500 für KI-fähige Workflows verlangt

Part 500 ist eine Cybersecurity-Regulierung, kein Framework für Aufbewahrung oder Offenlegung. Die Kernanforderungen legen fest, was ein Cybersecurity-Programm leisten muss: Vertraulichkeit, Integrität und Verfügbarkeit von Informationssystemen schützen; Cybersecurity-Vorfälle erkennen und darauf reagieren; und Governance auf Führungsebene nachweisen. Jede dieser Anforderungen gilt direkt für KI-Agent-Deployments, die mit nicht-öffentlichen Informationen interagieren.

Risikobewertung (Section 500.9)

Part 500 verlangt von Unternehmen regelmäßige Risikobewertungen, die Cybersecurity-Risiken für nicht-öffentliche Informationen identifizieren und bewerten und bei wesentlichen Änderungen an Informationssystemen oder Geschäftsprozessen aktualisiert werden. Das Branchenschreiben vom Oktober 2024 spezifiziert, dass Risikobewertungen drei KI-spezifische Kategorien abdecken müssen: die eigene KI-Nutzung des Unternehmens; KI-Technologien von Drittanbietern; und Schwachstellen aus KI-Anwendungen, die Vertraulichkeit, Integrität oder Verfügbarkeit nicht-öffentlicher Informationen gefährden könnten. Ein KI-Deployment, das in der aktuellen Risikobewertung nicht explizit betrachtet wurde, ist ein nicht bewertetes Risiko – ein direkter Verstoß gegen Section 500.9, unabhängig von der operativen Leistungsfähigkeit des KI-Systems.

Zugriffskontrollen (Section 500.7)

Part 500 verlangt von Unternehmen die Implementierung von Zugriffskontrollen, einschließlich MFA, um den Zugriff auf nicht-öffentliche Informationen auf autorisierte Anwender zu beschränken. Für KI-Agents bedeutet das zwei Aspekte: Erstens müssen Agents durch Kontrollen gesteuert werden, die den Zugriff auf nicht-öffentliche Informationen auf autorisierte Workflows und Operationen begrenzen – kein Agent sollte weitergehenden Zugriff haben als für seine Aufgabe erforderlich. Zweitens müssen Authentifizierungsmechanismen, die Systeme mit nicht-öffentlichen Informationen schützen, KI-unterstützten Angriffen widerstehen. Die Leitlinien vom Oktober 2024 weisen explizit darauf hin, dass Deepfakes SMS-, Sprach- und Video-Authentifizierung umgehen können, und fordern den Einsatz von Phishing-resistenten Methoden, die nicht durch KI-generierte Medien imitiert werden können. Ab November 2025 ist MFA für alle Anwender mit Zugriff auf nicht-öffentliche Informationen Pflicht – einschließlich der Systeme und Zugriffswege, über die KI-Agents auf diese Daten zugreifen.

Audit-Trail-Anforderungen (Section 500.6)

Part 500 verlangt von Unternehmen, Audit-Trails zu führen, die Cybersecurity-Vorfälle erkennen und darauf reagieren lassen. Für KI-Agent-Deployments muss der Audit-Trail erfassen, auf welche nicht-öffentlichen Informationen zugegriffen wurde, durch welchen Agent oder welches System, mit welcher Autorisierung und wann – auf Operationsebene ausreichend detailliert, um Vorfallserkennung und forensische Untersuchungen zu ermöglichen. Standard-API-Call-Logs und LLM-Inferenz-Logs erfüllen diese Anforderung nicht: Sie dokumentieren Systemereignisse, nicht die für Part 500 geforderten spezifischen Zugriffe auf nicht-öffentliche Informationen. Nachweise zur Compliance müssen fünf Jahre aufbewahrt und der NYDFS auf Anfrage vorgelegt werden können.

Drittanbieter-Management (Section 500.11)

Part 500 verlangt von Unternehmen schriftliche Richtlinien für Drittanbieter mit Zugriff auf nicht-öffentliche Informationen, einschließlich Mindeststandards für Cybersecurity und laufende Due Diligence. KI-Vendoren, deren Infrastruktur nicht-öffentliche Informationen verarbeitet – etwa Model-Hosting-Provider, API-Gateway-Betreiber, Vektor-Datenbankanbieter – sind Drittanbieter im Sinne von Part 500. Die Leitlinien vom Oktober 2024 konkretisieren: Due Diligence sollte bewerten, wie KI-bezogene Bedrohungen beim Vendor das Unternehmen beeinflussen könnten, und Vereinbarungen sollten eine Meldepflicht für KI-bezogene Cybersecurity-Vorfälle enthalten. Unternehmen, die ihre KI-Vendoren nicht nach dem Framework von Section 500.11 bewertet haben, weisen eine Compliance-Lücke auf.

Incident Response (Section 500.16)

Part 500 verlangt einen Incident-Response-Plan, der Cybersecurity-Vorfälle adressieren kann. Die Leitlinien vom Oktober 2024 fordern, dass diese Pläne auch KI-bezogene Cybersecurity-Vorfälle abdecken – einschließlich KI-unterstützter Angriffe und Vorfälle mit KI-Agent-Zugriff oder -Exponierung nicht-öffentlicher Informationen. Qualifizierende Cybersecurity-Vorfälle müssen der NYDFS innerhalb von 72 Stunden gemeldet werden. Ein KI-Agent, der ohne Autorisierung auf nicht-öffentliche Informationen zugreift oder durch Prompt Injection oder KI-unterstütztes Social Engineering kompromittiert wird, ist ein Cybersecurity-Vorfall nach Part 500. Wenn der Incident-Response-Plan nicht beschreibt, wie solche Vorfälle erkannt, eingedämmt und gemeldet werden, ist er unzureichend.

Wo KI-Deployments Compliance-Lücken nach Part 500 schaffen

Die durch KI-Agent-Deployments verursachten Compliance-Lücken nach Part 500 folgen bei betroffenen Unternehmen einem klaren Muster. Es handelt sich nicht um Absichtsfehler – die meisten Unternehmen wissen, dass sie reguliert sind. Es sind Architekturfehler: KI-Deployments, die auf operative Leistungsfähigkeit ausgelegt sind, ohne die von Part 500 geforderten Cybersecurity-Komponenten zu integrieren.

Risikobewertungen, die das KI-Umfeld nicht widerspiegeln

Die meisten Unternehmen haben ihre aktuelle Risikobewertung vor dem Einsatz von KI-Agents durchgeführt oder sie bei der Einführung von KI nur allgemein angepasst. Part 500 verlangt, dass Risikobewertungen die tatsächlich eingesetzten Informationssysteme abbilden. Eine Bewertung, die „Cloud Services“ als Risikokategorie nennt, aber KI-Agents mit Zugriff auf nicht-öffentliche Informationen, deren spezifische Schwachstellen oder Vendor-Abhängigkeiten nicht erwähnt, erfüllt Section 500.9 für das aktuelle Umfeld nicht. NYDFS-Prüfer vergleichen eingesetzte KI-Systeme mit der Risikobewertung – und Lücken werden als Findings dokumentiert.

Zugriffskontrollen für Menschen, nicht für Agents

Die meisten Unternehmen haben MFA und Zugriffskontrollen für menschliche Anwender implementiert. KI-Agents umgehen diese meist über Servicekonten oder API-Keys mit weitreichendem Zugriff auf nicht-öffentliche Informationen, ohne MFA auf Workflow-Ebene und ohne operationale Begrenzung. Diese Architektur erfüllt weder die Zugriffskontrollanforderungen für den KI-Agent-Zugriff auf nicht-öffentliche Informationen noch die aktualisierten Standards für Authentifizierungsmechanismen, die KI-unterstützten Deepfake-Angriffen widerstehen. KI-Agents werden wie vertrauenswürdige interne Prozesse behandelt, nicht wie Zugreifer auf nicht-öffentliche Informationen, die den Zugriffskontrollanforderungen von Part 500 unterliegen.

Vendor-Management, das beim Vertrag aufhört

Viele Unternehmen haben KI-Vendor-Vereinbarungen mit Standard-Cybersecurity-Zusicherungen, aber keine substanzielle Section 500.11-Bewertung nach den Leitlinien vom Oktober 2024 durchgeführt. Eine Vendor-Vereinbarung mit einer allgemeinen Sicherheitsgarantie – ohne Bewertung, wie die KI-Infrastruktur des Vendors nicht-öffentliche Informationen beim Model-Inferencing schützt, und ohne KI-spezifische Meldepflichten – erfüllt die Drittanbieter-Management-Anforderungen von Part 500 nicht.

Best Practices für NYDFS Part 500-konforme KI-Agent-Governance

1. KI-spezifisches Update der Risikobewertung durchführen

Aktualisieren Sie die Risikobewertung nach Part 500 gezielt für KI-Deployments: Inventarisieren Sie jeden KI-Agent oder jedes System mit Zugriff auf nicht-öffentliche Informationen, bewerten Sie die jeweiligen Cybersecurity-Risiken (Vendor-Abhängigkeiten, Authentifizierungs-Schwachstellen, Exponierung nicht-öffentlicher Informationen bei Kompromittierung) und dokumentieren Sie bestehende oder geplante Kontrollen. Dieses Update ist zentral für das gesamte Cybersecurity-Programm – und muss vor dem nächsten Zertifizierungszyklus abgeschlossen sein.

2. Zugriffskontrollen auf KI-Agent-Workflows auf Operationsebene ausweiten

Implementieren Sie Zugriffskontrollen, die den Zugriff von KI-Agents auf nicht-öffentliche Informationen pro Operation und nicht nur pro Session steuern. Jeder Agent-Workflow sollte mit einer eindeutigen Identitätsberechtigung arbeiten, die auf die benötigten nicht-öffentlichen Informationen begrenzt ist. Der Zugriff wird anhand des autorisierten Profils des Agents und der Klassifizierung der angeforderten Daten geprüft. Authentifizierungsmechanismen für Systeme mit nicht-öffentlichen Informationen sollten Phishing-resistente Methoden nutzen, die nicht durch KI-Deepfakes imitiert werden können – SMS-, Sprach- und Video-Faktoren, die von der NYDFS als unzureichend eingestuft wurden, sind zu vermeiden.

3. KI-spezifische Audit-Trails für Incident Detection und Forensik aufbauen

Setzen Sie operationale Audit-Logs für KI-Agent-Zugriffe auf nicht-öffentliche Informationen ein: Agent-Identität, autorisierter Workflow-Kontext, spezifisch zugegriffene Informationen, ausgeführte Operation und Zeitstempel. Logs müssen fünf Jahre aufbewahrt, manipulationssicher sein und in das SIEM des Unternehmens eingespeist werden, sodass anomale KI-Agent-Zugriffe in Echtzeit erkannt werden. Dieser Audit-Trail unterstützt sowohl die Detection-Anforderungen aus Section 500.6 als auch die forensische Grundlage für die 72-Stunden-NYDFS-Meldepflicht bei einem KI-bezogenen Cybersecurity-Vorfall.

4. Substanzielle KI-Vendor-Due-Diligence nach Section 500.11 durchführen

Führen Sie für jeden KI-Vendor, dessen Infrastruktur nicht-öffentliche Informationen verarbeitet, die von Part 500 geforderte Drittanbieter-Risikobewertung durch: Bewerten Sie, wie der Vendor nicht-öffentliche Informationen beim Model-Inferencing schützt, analysieren Sie die KI-bezogene Bedrohungslage des Vendors und deren potenziellen Einfluss auf das eigene Unternehmen und aktualisieren Sie Verträge, um eine Meldepflicht für KI-bezogene Cybersecurity-Vorfälle zu verankern. Allgemeine Sicherheitsgarantien erfüllen die aktualisierten Drittanbieter-Standards nicht.

5. Incident-Response-Pläne für KI-bezogene Cybersecurity-Vorfälle aktualisieren

Überarbeiten Sie den Incident-Response-Plan gezielt für KI-bezogene Cybersecurity-Vorfälle: Unautorisierter KI-Agent-Zugriff auf nicht-öffentliche Informationen, Prompt-Injection-Angriffe mit Datenabfluss, KI-unterstütztes Social Engineering mit Exponierung nicht-öffentlicher Informationen und Vendor-seitige KI-Vorfälle mit Auswirkungen auf die eigenen Daten. Definieren Sie Erkennungskriterien, Eindämmungsmaßnahmen und wie die 72-Stunden-NYDFS-Meldepflicht für jeden Vorfalltyp ausgelöst und umgesetzt wird.

Wie Kiteworks NYDFS Part 500-Compliance für KI-Agent-Deployments unterstützt

Die zentrale Herausforderung von Part 500 für KI-Deployments ist, dass die Cybersecurity Regulation fordert, dass Kontrollen direkt in den Systemen implementiert werden, die auf nicht-öffentliche Informationen zugreifen – nicht nachträglich aufgesetzt. KI-Agents, die über Servicekonten und Systemprompts auf nicht-öffentliche Informationen zugreifen, agieren außerhalb des Cybersecurity-Programms. Um KI-Agent-Zugriffe auf nicht-öffentliche Informationen Part 500-konform zu machen, braucht es eine Governance-Schicht, die jede Agenteninteraktion abfängt und die geforderten Zugriffskontrollen, Audit-Trails und Identitäts-Governance durchsetzt.

Das Private Data Network von Kiteworks bietet NYDFS-regulierten Unternehmen eine Data-Layer-Governance-Architektur, die zwischen KI-Agents und den benötigten nicht-öffentlichen Informationen sitzt – prüft die Agentenidentität, erzwingt operationale Zugriffspolicies, setzt FIPS 140-3 Level 1-validierte Verschlüsselung ein und erfasst einen manipulationssicheren, fünf Jahre aufbewahrbaren Audit-Trail für jede Interaktion mit nicht-öffentlichen Informationen. Jeder KI-Agent-Workflow übernimmt die Part 500-Cybersecurity-Kontrollen automatisch, direkt in der Datenzugriffsarchitektur und nicht erst durch manuelle Nachprüfung.

Operationale Zugriffskontrollen und Identitäts-Governance für Section 500.7

Kiteworks authentifiziert jeden KI-Agenten vor dem Zugriff auf nicht-öffentliche Informationen mit eindeutigen Workflow-Credentials, die mit dem menschlichen Autorisierer verknüpft sind. Eine operationale ABAC-Policy stellt sicher, dass jeder Agent nur auf die für den autorisierten Workflow benötigten nicht-öffentlichen Informationen zugreift. Damit werden die Zugriffskontrollanforderungen von Part 500 für KI-Agent-Zugriffe erfüllt und die operationale Begrenzung nachgewiesen, die Servicekonten nicht bieten.

Manipulationssicherer Audit-Trail für Section 500.6 und 72-Stunden-Incident-Meldung

Jede KI-Agent-Interaktion mit nicht-öffentlichen Informationen wird in einem manipulationssicheren, operationellen Log erfasst – Agentenidentität, menschlicher Autorisierer, spezifisch zugegriffene Informationen, Operationstyp, Policy-Entscheidung und Zeitstempel. Logs werden fünf Jahre gespeichert und in das SIEM des Unternehmens eingespeist, um anomale Zugriffe in Echtzeit zu erkennen. Bei einem qualifizierenden KI-bezogenen Cybersecurity-Vorfall steht der vollständige Interaktionsdatensatz sofort für die 72-Stunden-NYDFS-Meldung bereit.

Drittanbieter-Management-Support für Section 500.11

Kiteworks bietet Unternehmen eine Vendor-Beziehung, die auf nachweislicher Part 500-Compliance basiert. Die Architektur der Plattform stellt sicher, dass nicht-öffentliche Informationen, auf die KI-Agents zugreifen, durch dieselben Zugriffskontrollen, Verschlüsselungs- und Audit-Infrastrukturen geschützt werden wie alle anderen Datenbewegungen – und ermöglicht es Unternehmen, die Vendor-Beziehung im Section 500.11 Assessment spezifisch zu dokumentieren, statt auf allgemeine Zusicherungen zu verweisen.

Für NYDFS-regulierte Unternehmen, die KI-Agent-Deployments in ihr Part 500-Cybersecurity-Programm integrieren möchten, ohne die Deployment-Geschwindigkeit zu verringern, sorgt Kiteworks dafür, dass jede KI-Agent-Interaktion mit nicht-öffentlichen Informationen von Anfang an compliant ist. Erfahren Sie mehr über Kiteworks für Finanzdienstleister oder fordern Sie eine Demo an.

Weitere Ressourcen

• Blog Post
  Zero‑Trust-Strategien für erschwinglichen KI-Datenschutz
• Blog Post
  Wie 77 % der Unternehmen beim KI-Datenschutz scheitern
• eBook
  AI Governance Gap: Warum 91 % der kleinen Unternehmen 2025 russisches Roulette mit Datensicherheit spielen
• Blog Post
  Für Ihre Daten gibt es kein „–dangerously-skip-permissions“
• Blog Post
  Regulierungsbehörden wollen keine KI-Policy mehr sehen – sie verlangen den Nachweis ihrer Wirksamkeit.