¿Se utiliza la autenticación multifactor para acceder a los sistemas empresariales?

MFA es la décima medida explícita del artículo 21, apartado 2

Sí, esta pregunta se refiere a un elemento literalmente mencionado en la lista NIS2: el artículo 21, apartado 2, letra j menciona específicamente "el uso de soluciones de autenticación multifactor o autenticación continua". Esto hace que esta pregunta sea diferente de la mayoría de las demás en tal lista — no hay margen de interpretación sobre lo que se entiende, solo sobre si se ha implementado y dónde.

La práctica radica en la cobertura, no en el principio. Un cliente que pregunta si se utiliza MFA, generalmente significa: ¿se aplica a todos los accesos a los sistemas empresariales o solo a una parte? MFA en la VPN pero no en aplicaciones en la nube, o bien en cuentas administrativas pero no en usuarios regulares, es una respuesta diferente a un simple sí. Esta medida, por lo tanto, está estrechamente vinculada con la política de acceso establecida y la gestión de activos empresariales: sin un inventario de qué sistemas existen y quién tiene acceso a ellos, "¿se utiliza MFA?" no es una pregunta de sí o no sino una pregunta que contiene un porcentaje. Quien solo conoce la respuesta para su propio portátil y no para el entorno de servidores, en realidad responde sobre un subconjunto.

Donde aparece en la directiva: artículo 21, apartado 2, letra j

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 enumera diez medidas que las entidades deben adoptar como parte de su gestión de riesgos; la letra j menciona específicamente autenticación multifactor o autenticación continua, junto con comunicación cifrada y comunicación de emergencia asegurada. Esta medida no es aislada: el apartado 1 del mismo artículo requiere que el conjunto sea proporcional al riesgo, el tamaño y la probabilidad de incidentes, lo que permite una implementación gradual siempre que esté establecida como política. Que MFA sea obligatorio para la empresa que completa el formulario depende de si la empresa está incluida en la directiva como entidad — un proveedor que no está bajo NIS2, solo recibe esta pregunta porque su cliente sí está bajo NIS2 y la cadena debe hacer consultas.