spørgeskema spørger, hvordan vores adgangskodepolitik ser ud

Adgangskodepolitik falder under adgangskontrol, ikke under kryptering

Spørgsmålet om adgangskodepolitik hører hjemme under adgangskontrol: hvem må få adgang til hvilket system, og hvordan kontrolleres det. Kunderne spørger om dette normalt som et separat spørgsmål, men i kædesystemet hører det hjemme under adgangspolitikken og styringen af virksomhedsressourcer, ikke under kryptering. Forveks ikke dette: nogle spørgelister sætter "adgangskodepolitik" og "kryptering" ved et uheld i samme sektion, men det er to forskellige foranstaltninger fra artikel 21, stk. 2 i NIS2-direktivet — adgangskontrol (under h) og kryptering (under h er bredere, kryptering ligger separat under de organisatoriske foranstaltninger i dette stykke).

Konkret påkrævet bevis er normalt: en minimumslængde for adgangskoder, en skiftefrekvens eller netop fraværet heraf (den nyere praksis fraråder undertiden periodisk skift), og om en adgangskodeadministrator eller single sign-on bruges. Hvis du ikke har en separat dokumenteret adgangskodepolitik, men dog har en adgangskontrolpolitik, hvori dette er medtaget, er det ofte tilstrækkeligt som underliggende bevis — svaret afhænger af, hvor præcist spørgsmålet er formuleret. Hvis adgangskodepolitikken mangler helt og der heller ikke findes en multifaktor-godkendelse som kompenserende foranstaltning, så er "nej" med en kort forklaring mere ærligt end et "ja", som du ikke kan underbygge.

Hvor det står i direktivet og normen

Artikel 21, stk. 2 i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 nævner adgangskontrolpolitik som en af de ti obligatoriske foranstaltninger for enheder, der falder under direktivet; adgangskodehåndtering er en standarddel heraf. I ISO/IEC 27001 er dette udfoldet i Annex A under kontrolforanstaltninger for adgangssikkerhed. For den nederlandske praksis tæller foreløbig direktivet selv, fordi Cybersikkerhedsloven som gennemførelse træder i kraft den 15. august 2026. Hvis du er usikker på, om dit selskab selv falder herunder, er det et separat spørgsmål, som du besvarer separat under eller om virksomheden selv falder under NIS2-direktivet.