el cuestionario pregunta por nuestra política de contraseñas cómo respondo eso

La política de contraseñas forma parte del control de acceso, no de la autenticación por separado

La política de contraseñas la respondes normalmente junto con la política de acceso más amplia: quién puede acceder a qué sistema, cómo se otorga y se revoca ese acceso, y qué requisitos se aplican a las contraseñas en sí. En concreto, se trata de la longitud mínima, la complejidad, el cambio obligatorio si hay sospecha de abuso, y la prohibición de reutilizar contraseñas antiguas. Muchos portales lo preguntan como una cuestión independiente, pero en el dossier de cadena esto corresponde a la política de acceso, incluida la gestión de activos empresariales — ahí documentas qué política existe y quién la supervisa.

Si no tienes una política de contraseñas separada y documentada pero sí acuerdos prácticos — por ejemplo a través de un gestor de contraseñas o configuraciones forzadas en Active Directory — a menudo es suficiente como justificación, siempre que puedas demostrarlo. Si falta cualquier documentación, entonces «no» es la respuesta honesta; rellenar una sospecha como prueba no ayuda en una auditoría. Ten en cuenta la combinación con autenticación multifactor obligatoria para acceder a los sistemas empresariales: cada vez más clientes lo preguntan como complemento o sustitución de una política de contraseñas estricta, porque MFA mitiga en gran medida el riesgo de una contraseña débil.

Trazable al artículo 21 apartado 2 y Anexo A

La política de contraseñas no es una obligación independiente sino una concreción de las medidas de control de acceso. En el artículo 21, apartado 2, de la Directiva NIS2 (Directiva (UE) 2022/2555) se menciona el control de acceso y la gestión de activos como una de las diez medidas obligatorias; la política de contraseñas es la concreción más específica de esto. En el Anexo A de ISO/IEC 27001 esto aparece de nuevo bajo las medidas de control para la gestión de acceso e información de autenticación. Una organización que esté certificada conforme a esa norma casi siempre tendrá ya documentada la política de contraseñas como parte de la política de acceso más amplia.