preguntan si nuestros empleados acceden con un único inicio de sesión a todo

SSO es una medida de autenticación, no un requisito separado de NIS2

Single sign-on (SSO) no aparece como partida independiente en el artículo 21, apartado 2 de la Directiva NIS2. La pregunta corresponde a la política de acceso: cómo determinas quién puede acceder a qué sistema y cómo lo verificas. SSO es un medio, no un fin — la respuesta que indiques debe tratar sobre lo que SSO resuelve en tu entorno, no sobre la herramienta en sí.

Es importante verificar antes de marcar "sí": ¿utiliza el cuestionario "SSO" como sinónimo de gestión de identidad centralizada (un IdP único, por ejemplo Azure AD u Okta, para la mayoría de aplicaciones empresariales), o pregunta en realidad por algo distinto que casualmente se formula así? Muchos formatos plantean esta pregunta como paso previo a la siguiente sobre autenticación multifactor — si respondes "sí" a SSO pero no tienes MFA configurada en el IdP, desde el punto de vista de un auditor es una medida incompleta. Verifica eso junto con la pregunta sobre autenticación multifactor antes de confirmar la respuesta. Si tienes SSO solo en parte de los sistemas — por ejemplo en aplicaciones SaaS, pero no en el entorno on-prem heredado — entonces una respuesta matizada con una aclaración es más precisa que un simple "sí".

La política de acceso y Annex A proporcionan el lugar exacto de referencia

La fundamentación se articula en dos aspectos. En la Directiva NIS2, la autenticación cae bajo las medidas del artículo 21, apartado 2, en particular bajo el punto (i), relativo al control de acceso y la gestión de activos empresariales — ahí es la política de acceso más amplia el punto de conexión en tu expediente de cadena. Quienes trabajan con ISO/IEC 27001 encuentran SSO como implementación de las medidas de control en Annex A sobre gestión de identidad y autenticación (A.5.15 a A.5.18 en la versión 2022). Si no tienes certificado, eso en sí no es un problema para esta respuesta — la pregunta sobre SSO es independiente de la pregunta sobre si estás certificado. La Ley de Ciberseguridad, que transpone NIS2 en los Países Bajos, no añade un requisito separado de SSO en este punto; remite para su implementación a las mismas diez medidas del artículo 21, apartado 2.