Die Frageliste fragt, wie unsere Passwortrichtlinie aussieht

Passwortrichtlinie fällt unter Zugriffskontrolle, nicht unter Kryptografie

Die Frage nach einer Passwortrichtlinie gehört zur Zugriffskontrolle: wer darf auf welches System zugreifen und wie wird das kontrolliert. Kunden stellen diese Frage normalerweise als separate Frage, aber im Kettenverzeichnis gehört sie zu der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen, nicht zur Verschlüsselung. Verwechseln Sie das nicht: einige Fragelisten ordnen "Passwortrichtlinie" und "Verschlüsselung" versehentlich in denselben Bereich ein, aber es sind zwei unterschiedliche Maßnahmen aus Artikel 21 Absatz 2 NIS2 — Zugriffskontrolle (unter h) und Kryptografie (unter h ist breiter, Verschlüsselung ist separat unter den organisatorischen Maßnahmen dieses Absatzes).

Der konkret geforderte Nachweis ist normalerweise: eine Mindestvorgabe für die Passwortlänge, eine Wechselhäufigkeit oder gerade deren Abwesenheit (die neuere Praxis rät vom regelmäßigen Wechsel manchmal ab), und ob ein Passwortmanager oder Single Sign-On verwendet wird. Wenn Sie keine separate dokumentierte Passwortrichtlinie haben, aber eine Zugangsrichtlinie, in die dies aufgenommen wurde, ist das oft als Nachweis ausreichend — die Antwort hängt davon ab, wie streng die Frage formuliert ist. Wenn die Passwortrichtlinie vollständig fehlt und es auch keine Mehrstufenauthentifizierung als Ausgleichsmaßnahme gibt, dann ist ein "Nein" mit einer kurzen Erklärung ehrlicher als ein "Ja", das Sie nicht begründen können.

Wo dies in der Richtlinie und der Norm festgehalten ist

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt eine Zugriffskontrollrichtlinie als eine der zehn obligatorischen Maßnahmen für Einrichtungen, die unter die Richtlinie fallen; Passwortmanagement ist dort ein Standardelement. In ISO/IEC 27001 ist dies im Anhang A unter den Managementmaßnahmen für Zugriffskontrolle ausgearbeitet. Für die niederländische Praxis zählt derzeit die Richtlinie selbst, da das Cybersicherheitsgesetz als Umsetzung am 15. August 2026 in Kraft tritt. Falls Sie zweifeln, ob Ihr Unternehmen hier eigenständig unter fällt, dann ist das eine separate Frage, die Sie separat beantworten bei oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt.