Kunde fragt nach unserem Passwortrichtlinie, was muss ich antworten

Passwortrichtlinie ist Teil der Zugriffskontrolle, nicht der Kryptografie

Passwortrichtlinie fällt unter Zugriffskontrolle, nicht unter Kryptografie oder Authentifizierung separat. Fragt die Liste nach "password policy" oder "Passwortrichtlinie", wird normalerweise überprüft, ob Mindestanforderungen festgelegt sind: Mindestlänge, Komplexität, obligatorischer Wechsel bei Verdacht auf Kompromittierung und ein Verbot der Wiederverwendung alter Passwörter. Ausreichend ist ein Richtliniendokument, das diese Punkte enthält, plus eine technische Einstellung, die sie durchsetzt — nicht nur eine Richtlinie, die Mitarbeiter befolgen sollen. Fehlt das Dokument, aber die Einstellung ist in Active Directory oder dem Identity Provider korrekt konfiguriert, reicht das oft bereits als Nachweis; ein Screenshot der Richtlinie in der Systemverwaltung genügt dann.

Hast du keine separate Passwortrichtlinie, aber Mehrauthentifizierung ist für alle Betriebssysteme des Unternehmens obligatorisch, ist diese Antwort oft stärker als eine Passwortrichtlinie allein — viele Listen fragen das als separaten Punkt, siehe oder Mehrauthentifizierung erforderlich ist für den Zugriff auf Betriebssysteme des Unternehmens". Trage das als Ergänzung ein, nicht als Ersatz: Ein Kunde, der speziell nach Passwortrichtlinie fragt, möchte diesen Punkt separat beantwortet sehen. Hast du nichts dokumentiert, ist "nein" mit einer Erklärung, dass MFA obligatorisch ist, oft ehrlicher und vollständiger als ein vages "ja" auf eine Frage, die du nicht mit einem Dokument belegen kannst.

Wo das in der Norm und der Richtlinie steht

ISO/IEC 27001 Annex A enthält eine spezifische Kontrollmaßnahme für Authentifizierungsinformationen, einschließlich Passwortverwaltung; wer dafür zertifiziert ist, kann darauf als Nachweis verweisen, siehe ob das Unternehmen ISO-27001-zertifiziert ist". NIS2 selbst nennt Passwortrichtlinie nicht als separaten Punkt unter den zehn Maßnahmen von Artikel 21 Absatz 2 — es fällt dort unter die breitere Kategorie Zugriffskontrolle und Systemsicherheit. Fragebögen, die auf NIS2 verweisen, übersetzen diesen breiteren Punkt oft selbst in eine konkrete Passwortfrage; die zugrunde liegende Anforderung ist dann die Zugriffskontrollrichtlinie insgesamt, nicht Passwörter speziell.