dotazník se ptá na naši zásadu hesel, musí být písemně zakotvena

Politika hesel patří do politiky přístupu, nikoli samostatně

Ano, písemně zakotvená politika hesel je standard, který se v dotazníku očekává — ale samotná otázka je obvykle chápána šíře než jen hesla. Článek 21 odst. 2 NIS2 neuváděl samostatnou "politiku hesel" jako samostatné opatření; hesla spadají pod bod (i), politiku kontroly přístupu, a pod bod (j), používání vícefaktorové autentizace. Pokud dotazník konkrétně ptá na politiku hesel, obvykle se testuje, zda je to součástí širší zásady přístupu písemně zakotveno: kdo dostane která práva, jak se heslo vytváří, jak často se mění, co se stane při ukončení pracovního poměru.

Pokud nemáte samostatný dokument, otázka zní, zda je politika někde jinde — například v širší politice bezpečnosti informací nebo v nastavení vašeho systému správy identit a přístupu. ISO 27001 Annex A pracuje se stejnou logikou: neexistuje samostatný control pro hesla, ale control A.5.17 (autentizační informace) spadá pod téma správu přístupu. Pokud nemáte certifikaci ISO a žádný samostatný dokument, pak je v tomto okamžiku "ne" správná odpověď na samostatnou otázku na hesla — případně s vysvětlením, že vícefaktorová autentizace je implementována, což se často počítá více než samotná politika hesel. To je samostatná otázka v mnoha dotaznících. viz otázka o vícefaktorové autentizaci.

Kde to vyplývá z: článek 21 odst. 2 písm. i a j

Článek 21 odst. 2 Směrnice (EU) 2022/2555 neuváděl pod písm. i "politiku a postupy týkající se používání kryptografie a, je-li relevantní, šifrování" jako místo nálezu hesel — ta spadají pod "politiku kontroly přístupu" (písm. i v běžném překladu deseti opatření) a pod vícefaktorovou autentizaci (písm. j). Zákon o kybernetické bezpečnosti převezme toto dělení, jakmile vstoupí v platnost 15. srpna 2026. ISO/IEC 27001 Annex A také řadí správu hesel pod širší téma správy přístupu, nikoli jako samostatný control.