de spørger, om vores medarbejdere logger ind med ét login til alt

SSO er en godkendelsesforanstaltning, ikke et særskilt NIS2-krav

Single sign-on (SSO) fremgår ikke som en selvstændig post i artikel 21, stk. 2 i NIS2-direktivet. Spørgsmålet hører hjemme under adgangskontrolpolitikken: hvordan regulerer du, hvem der må få adgang til hvilke systemer, og hvordan kontrollerer du det. SSO er i den sammenhæng et middel, ikke et mål — det svar, du skriver, skal derfor handle om, hvad SSO løser i dit miljø, ikke om værktøjet selv.

Det er vigtigt at kontrollere før du skriver "ja": bruger spørgeskemaet "SSO" som synonym for centraliseret identitetsstyring (én IdP, for eksempel Azure AD eller Okta, til de fleste forretningsapplikationer), eller spørger det faktisk efter noget helt tredje, som bare tilfældigvis er formuleret sådan? Mange formats stiller dette spørgsmål som indgang til det næste spørgsmål om multi-factor-godkendelse — hvis du siger "ja" til SSO, men ikke har multi-factor-godkendelse på IdP, er det fra en revisor-vinkel en halv foranstaltning. Kontroller det sammen med multi-faktor-autentificering før du bekræfter svaret. Har du kun SSO på nogle af systemerne — for eksempel på SaaS-applikationer, men ikke på dit on-prem legacy-miljø — er et nuanceret svar med en forklaring mere præcist end et simpelt "ja".

Adgangskontrolpolitik og Annex A angiver det præcise sted, hvor man finder dette

Begrundelsen løber på to spor. I NIS2-direktivet falder godkendelse under foranstaltningerne i artikel 21, stk. 2, særligt punkt (i), om adgangskontrol og styring af virksomhedsressourcer — der er den bredere adgangskontrolpolitik det udgangspunkt i dit ketendossier. Hvis du arbejder med ISO/IEC 27001, finder du SSO tilbage som opfyldelse af kontrolforanstaltningerne i Annex A omkring identitetsstyring og godkendelse (A.5.15 til og med A.5.18 i 2022-versionen). Hvis du ikke har et certifikat, er det i sig selv ikke noget problem for dette svar — spørgsmålet om SSO står adskilt fra spørgsmålet om du er certificeret. Cybersikkerhedsloven, som omskriver NIS2 i Danmark, tilføjer ikke et særskilt SSO-krav på dette punkt; den henviser til samme ti foranstaltninger fra artikel 21, stk. 2 for udformningen.