Списъкът пита за нашата политика за пароли, трябва ли да е написана

Политиката за пароли е част от политиката за достъп, а не отделно от нея

Да, писмено установена политика за пароли е норматив, който очаква въпросникът — но самият въпрос обикновено е по-широко насочен от само пароли. Член 21, параграф 2 на NIS2 не се позовава на отделна "политика за пароли" като самостоятелна мярка; паролите попадат под точка (i), политика за контрол на достъпа, и под точка (j), използването на многофакторна аутентификация. Ако въпросникът специфично пита за политика за пароли, обикновено се проверява дали тя е част от по-широка политика на достъпа писмено е установена: кой получава какви права, как се построява парола, колко често се сменя, какво се случва при прекратяване на служба.

Ако нямаш отделен документ, въпросът е дали политиката е някъде другаде — например в по-широка политика за информационна безопасност или в настройките на твоята система за управление на самоличност и достъп. ISO 27001 Annex A работи със същата логика: няма отделна контрола за пароли, но контрола A.5.17 (информация за аутентификация) попада под темата контрол на достъпа. Ако нямаш ISO сертификат и нямаш отделен документ, то "не" в момента е правилният отговор на отделния въпрос за пароли — евентуално с пояснение, че многофакторната аутентификация е установена, което често се брои по-високо от самата политика за пароли. Последното е отделен въпрос в много списъци, виж въпроса относно многофакторната аутентификация.

От което следва: член 21, параграф 2, букви i и j

Член 21, параграф 2 на Директива (ЕС) 2022/2555 не се позовава на "политика и процедури относно използването на криптография и, когато е уместно, криптиране" под букви (i) като място за намиране на пароли — те попадат под "политика за контрол на достъпа" (букви i в обичайния превод на десетте мерки) и под многофакторна аутентификация (букви j). Законът за кибербезопасност приема това разделение щом влезе в сила на 15 август 2026 г. ISO/IEC 27001 Annex A също разполага управлението на пароли под по-широката тема контрол на достъпа, а не като самостоятелна контрола.