Sie möchten wissen, wie unsere Passwortrichtlinie aussieht

Kennworttrrichtlinie ist Teil der Zugriffskontrollrichtlinie, nicht der MFA

Fragebögen stellen "Kennworttrrichtlinie" normalerweise als separaten Punkt dar, aber die Antwort gehört inhaltlich dazu die Zugriffskontrollrichtlinie, einschließlich der Verwaltung von BetriebsmittelnBeschreiben Sie mindestens: minimale Länge, Komplexitätsanforderungen, erforderliche Änderung bei Verdacht auf Missbrauch (nicht standardmäßig periodisch — das gilt inzwischen als überholt) und was nach einer Reihe fehlgeschlagener Anmeldeversuche geschieht. Geben Sie auch an, ob Kennwörter zentral über einen Kennwort-Manager oder einen Identitätsanbieter verwaltet werden oder ob Benutzer dies selbst regeln.

Ein häufiger Fehler: Kennworttrrichtlinie separat von Mehrfaktor-Authentifizierung für den Zugriff auf Unternehmenssystemezu beschreiben, während der Kunde oft gerade wissen möchte, ob ein schwaches Kennwort durch einen zweiten Faktor kompensiert wird. Platzieren Sie diese beiden Antworten daher nebeneinander im Kettendossier, auch wenn dies den Fragesteller zwei separate Fragen kostet — das erspart eine Erläuterung, die Sie sonst wiederholt eingeben müssten. Wenn Sie keine festgelegte Kennworttrrichtlinie haben, aber einen Kennwort-Manager für alle verpflichtend einsetzen, beschreiben Sie dies sachlich; ein "Nein" mit kurzer Begründung ist eine vollständigere Antwort als ein "Ja", das die Praxis überschätzt.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Kennworttrrichtlinie ist kein separater Punkt in Artikel 21 Absatz 2 der NIS2-Richtlinie; es fällt unter die breitere Maßnahme zur Zugriffskontrolle innerhalb dieser zehn Maßnahmen. In ISO/IEC 27001 Annex A ist es expliziter als Kontrollmaßnahme innerhalb des Themas Zugriffssicherung zu finden. Fragesteller, die nach "Kennworttrrichtlinie" fragen, entlehnen diesen Begriff normalerweise Annex A, auch wenn sie auf NIS2-Verpflichtungen verweisen — daher landet die Antwort in der Praxis an der gleichen Stelle im Dossier.