Wie beschreibe ich unsere Passwortrichtlinie im Sicherheitsfragebogen des Kunden

Passwortrichtlinie ist Teil der Zugriffskontrolle, nicht der Kryptografie

Die Frage nach der Passwortrichtlinie steht normalerweise nicht als isolierte Frage, sondern als Teil eines umfassenderen Blocks zur Zugriffskontrolle. Beschreiben Sie daher nicht nur die Passwortregeln selbst — Mindestlänge, Komplexität, Ablauffristen — sondern ordnen Sie sie in den Kontext ein, wer Zugriff auf welche Systeme hat und wie dieser verwaltet wird. Ein Kunde, der nach einer Passwortrichtlinie fragt, fragt tatsächlich nach Identitäts- und Zugriffsverwaltung. Wenn die Zugriffskontrollrichtlinie einschließlich der Verwaltung von Unternehmensressourcen festgelegt ist, ist die Passwortrichtlinie darin eine Regel, nicht ein eigenständiges Dokument.

Bei einem Lieferanten, der selbst unter eine Sicherheitsnorm fällt, erwartet der Kunde mehr als nur "Passwörter müssen mindestens 8 Zeichen lang sein". Beschreiben Sie, ob die Passwortrichtlinie technisch durchgesetzt wird (über die Domäne oder den Identitätsanbieter) oder nur auf dem Papier steht, und ob ein Passwort-Manager erforderlich oder empfohlen wird. Erwähnen Sie auch, ob gemeinsame Konten vorhanden sind und wie damit umgegangen wird — das ist oft die Anschlussfrage. Fehlt eine formale Passwortrichtlinie, ist es ehrlicher, dies zu melden, als ein Ja anzukreuzen, das das Dossier nicht stützen kann; viele Kunden akzeptieren eine kompensatorische Maßnahme, wie Mehrfaktor-Authentifizierung für den Zugriff auf Unternehmenssysteme, als Alternative zu einer strengen Passwortrichtlinie.

Wo dies in den zehn Maßnahmen steht

Die Passwortrichtlinie fällt unter die Maßnahmen zur Zugriffskontrolle in Artikel 21 Absatz 2 der NIS2-Richtlinie, wo sie zusammen mit der Personalsicherheit und der Verwaltung von Unternehmensressourcen als eine der zehn zu ergreifenden Maßnahmen genannt wird. In ISO/IEC 27001 ist dies in den Kontrollmaßnahmen von Annex A unter der Kategorie Zugriffssicherheit ausgearbeitet — dort wird die Passwortrichtlinie ausdrücklich mit der umfassenderen Authentifizierungsrichtlinie verknüpft, nicht mit isolierten technischen Einstellungen. Für Lieferanten, die nach Inkrafttreten des Cybersicherheitsgesetzes darunter fallen, gilt voraussichtlich die gleiche Einteilung, da dieses Gesetz die Einteilung der Richtlinie übernimmt.