ニューヨーク州サイバーセキュリティ規制（23 NYCRR 500）の免除申請はいつ・どのように行う？徹底解説

ニューヨーク州サイバーセキュリティ規制（23 NYCRR 500）とは

ニューヨーク州金融サービス局（NYDFS）が制定したサイバーセキュリティ規制「23 NYCRR Part 500」は、金融セクター向けに策定された包括的なサイバーセキュリティ規制です。この規制は、顧客情報および情報技術システムを保護するための基準を金融機関に義務付けるものであり、規制対象事業者だけでなく、規制対象事業者にサービスを提供する第三者事業者にも影響を及ぼします。

規制対象エンティティ（Covered Entity）の定義

23 NYCRR 500における「規制対象エンティティ」とは、NYDFSの監督下で運営される個人または法人を指します。情報システムの管理・運用・保全・調整、およびサイバーリスクの管理を担う組織や上級幹部（Senior Officer）もこの枠組みに含まれます。

NYDFSの監督対象となる主な事業者は以下の通りです。

• 銀行および金融サービス会社
• 生命保険会社を含む保険会社
• 信用組合
• 住宅ローン（モーゲージ）関連事業者

DFSコンプライアンス認証とは

NYDFSの監督下にある規制対象事業者は、サイバーセキュリティ要件への準拠を証明する「DFS認証（Certification of Compliance）」を提出する義務があります。この認証は、CEOやCISOなどの上級幹部が規制要件への適合状況を正式に確認・承認する重要なプロセスです。

免除（Exemption）の対象となる中小企業の要件

この規制には限定的な免除措置が設けられており、以下のいずれかに該当する組織は一部の要件が適用除外となります。

• 従業員数が10人以下であること
• 過去3年間のニューヨーク州での年間総収入が500万ドル未満であること
• 年度末時点の総資産が1,000万ドル未満であること

ただし、免除が認められた場合でも、すべての要件が免除されるわけではありません。リスク評価やサイバーインシデントの報告など、一部の重要な要件は引き続き適用される点に注意が必要です。

免除申請の時期と手順

免除の対象になると判断した規制対象事業者は、DFSのサイバーセキュリティポータルを通じて免除申請を行います。申請時には、免除要件に該当することを裏付ける情報を提供する必要があります。また、免除ステータスは毎年の認証と併せて更新・確認が求められるため、該当事業者は継続的に自社の適格性を見直すことが重要です。

コンプライアンスのスケジュール

この規制は2017年3月1日に発効しました。発効後は段階的な移行期間が設けられ、各要件ごとに遵守期限が設定されています。規制対象事業者は、自社の規模や状況に応じて必要な対応を期限内に完了しなければなりません。

従業員研修とモニタリングの要件

研修とモニタリングに関する要件は、Section 500.14に規定されています。同条項では、組織が全従業員に対して定期的なサイバーセキュリティ研修を実施することが求められています。さらに、研修内容はリスクアセスメントで特定されたリスクを反映したものでなければならないとされており、形式的な研修ではなく実効性のある教育プログラムが求められます。

NYSサイバーセキュリティ（州全体の取り組み）

ニューヨーク州では、情報技術サービス局（ITS）のチーフ情報セキュリティオフィス（CISO）が、州の情報インフラを保護するためのサイバーセキュリティに関する方針、基準、プログラムを州全体で調整しています。これにより、州政府機関と民間金融セクターの双方でセキュリティ水準の向上が図られています。

まとめ

23 NYCRR 500は、ニューヨーク州の金融セクターにおけるサイバーセキュリティ対策の中核を成す規制です。中小企業には免除措置が用意されているものの、免除の適用には一定の要件を満たす必要があり、申請と更新を適切に行うことが求められます。自社が規制対象に該当するかどうか、また免除の適格性があるかどうかを早期に確認し、必要な対応を計画的に進めることをおすすめします。