el cuestionario pregunta sobre nuestra política de contraseñas, ¿debe estar documentada por escrito

La política de contraseñas forma parte de la política de acceso, no de forma separada

Sí, una política de contraseñas documentada por escrito es la norma que espera el cuestionario — pero la pregunta en sí suele tener un alcance más amplio que solo las contraseñas. El artículo 21 apartado 2 de la NIS2 no menciona una "política de contraseñas" separada como medida individual; las contraseñas se incluyen en el punto (i), política de control de acceso, y en el punto (j), el uso de autenticación multifactor. Si el cuestionario pregunta específicamente sobre política de contraseñas, generalmente se evalúa si forma parte de una política de acceso documentada por escrito: quién recibe qué derechos, cómo se estructura una contraseña, con qué frecuencia cambia, qué sucede al finalizar la relación laboral.

Si no tienes un documento separado, la pregunta es si la política ya existe en otro lugar — por ejemplo, en una política de seguridad de la información más amplia o en la configuración de tu sistema de gestión de identidades y acceso. ISO 27001 Anexo A funciona con la misma lógica: no hay un control separado para contraseñas, pero el control A.5.17 (información de autenticación) forma parte del tema de control de acceso. Si no tienes certificación ISO ni un documento separado, entonces "no" es la respuesta correcta en este momento a la pregunta aislada sobre contraseñas — posiblemente con una aclaración de que la autenticación multifactor sí está implementada, lo que a menudo cuenta más que la política de contraseñas en sí. Esta última es una pregunta separada en muchos cuestionarios. véase la pregunta sobre autenticación multifactor.

De donde se deduce: artículo 21 apartado 2 sub i y j

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona en el sub (i) "políticas y procedimientos relativos al uso de la criptografía y, cuando proceda, el cifrado" no como fuente para las contraseñas — estas se incluyen en "política de control de acceso" (sub i en la traducción común de las diez medidas) y en autenticación multifactor (sub j). La Ley de Ciberseguridad adoptará esta clasificación una vez que entre en vigor el 15 de agosto de 2026. ISO/IEC 27001 Anexo A también sitúa la gestión de contraseñas dentro del tema más amplio de control de acceso, no como control independiente.