Fragebogen fragt nach unserer Passwortrichtlinie, wie antworte ich darauf

Die Passwortrichtlinie fällt unter Zugriffskontrolle, nicht separat unter Authentifizierung

Die Passwortrichtlinie beantwortest du in der Regel zusammen mit der umfassenderen Zugriffskontrollrichtlinie: wer darf auf welches System zugreifen, wie wird das gewährt und entzogen, und welche Anforderungen gelten für Passwörter selbst. Konkret geht es um minimale Länge, Komplexität, erzwungene Änderung bei Verdacht auf Missbrauch und das Verbot der Wiederverwendung alter Passwörter. Viele Portale fragen dies als separate Frage, aber im Kettendossier gehört dies zu die Zugriffskontrollrichtlinie, einschließlich der Verwaltung von Betriebsmitteln — dort legst du fest, welche Richtlinie vorhanden ist und wer sie überwacht.

Hast du keine separate, dokumentierte Passwortrichtlinie, sondern nur praktische Vereinbarungen — beispielsweise über einen Password Manager oder erzwungene Einstellungen in Active Directory —, ist das oft ausreichend als Begründung, sofern du es nachweisen kannst. Fehlt jegliche Dokumentation, ist "nein" die ehrliche Antwort; eine Vermutung als Nachweis einzutragen hilft bei einer Audit nicht. Achte auf die Kombination mit Mehrfaktor-Authentifizierung für den Zugriff auf Unternehmenssysteme: Immer mehr Kunden fragen dies als Ergänzung zu oder Ersatz für eine strenge Passwortrichtlinie, da MFA das Risiko eines schwachen Passworts weitgehend behebt.

Zurückzuführen auf Artikel 21 Absatz 2 und Anlage A

Die Passwortrichtlinie ist keine eigenständige Verpflichtung, sondern eine Ausarbeitung der Maßnahmen rund um Zugriffskontrolle. In Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) sind Zugriffskontrolle und Assetmanagement als eine der zehn verpflichtenden Maßnahmen aufgeführt; die Passwortrichtlinie ist dort die konkreteste Umsetzung davon. In Annex A von ISO/IEC 27001 findet sich dies unter den Kontrollen für Zugriffsverwaltung und Authentifizierungsinformationen wieder. Eine nach dieser Norm zertifizierte Organisation hat die Passwortrichtlinie fast immer bereits als Teil der umfassenderen Zugriffskontrollrichtlinie dokumentiert.