Bruges multifaktor-godkendelse til adgang til virksomhedssystemer?

MFA er det eksplicitte tiende tiltag i artikel 21, stk. 2

Ja, dette spørgsmål handler om en bogstaveligt nævnt del af NIS2-listen: artikel 21, stk. 2, litra j nævner "brugen af løsninger til multifaktorautentificering eller kontinuerlig autentificering" ved navn. Det gør dette spørgsmål anderledes end de fleste andre på sådan en liste — der er ingen fortolkningsrum om, hvad der menes, kun om det er implementeret og hvor.

Praksis ligger i dækningen, ikke i princippet. En kunde, der spørger, om MFA bruges, betyder normalt: gælder dette for al adgang til virksomhedssystemer, eller kun for en del? MFA på VPN'en men ikke på cloudapplikationer, eller vel på administratorkonti men ikke på almindelige brugere, er et andet svar end et simpelt ja. Denne del hænger derfor tæt sammen med den fastlagte adgangspolitik og styringen af virksomhedsmidler: uden et overblik over, hvilke systemer der er, og hvem der har adgang til dem, er "bruges MFA" ikke et ja-eller-nej-spørgsmål men et spørgsmål med en procentdel i det. Den, der kun kender svaret for sin egen bærbar computer og ikke for serveromgivelsen, svarer faktisk på en delmængde.

Hvor det står i direktivet: artikel 21, stk. 2, litra j

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 opregner ti tiltag, som enheder skal træffe som led i deres risikostyring; litra j nævner multifaktorautentificering eller kontinuerlig autentificering specifikt, sammen med krypteret kommunikation og sikret nødkommunikation. Dette tiltag er ikke isoleret: stk. 1 i samme artikel kræver, at det hele skal være proportionalt med risikoen, omfanget og sandsynligheden for hændelser, hvilket giver plads til en gradvis udrulning, så længe det er dokumenteret politisk. Om MFA er obligatorisk for den virksomhed, der udfylder, afhænger af om virksomheden falder ind under direktivet som en enhed — en leverandør, der selv ikke falder ind under NIS2, får kun dette spørgsmål, fordi hans kunde gør det, og kæden skal udspørges.