ils demandent si nos collaborateurs se connectent avec un seul identifiant à tout

L'authentification unique (SSO) est une mesure d'authentification, non une exigence NIS2 distincte

L'authentification unique (SSO) ne figure pas comme poste distinct à l'article 21, paragraphe 2 de la directive NIS2. La question relève de la politique d'accès : comment définissez-vous qui peut accéder à quel système, et comment vérifiez-vous cela. SSO est un moyen, non une fin — la réponse que vous inscrivez doit donc porter sur ce que SSO résout dans votre environnement, non sur l'outil lui-même.

Il est important de vérifier avant de cocher « oui » : la liste de contrôle utilise-t-elle « SSO » comme synonyme de gestion centralisée de l'identité (un IdP unique, par exemple Azure AD ou Okta, pour la plupart des applications métier), ou demande-t-elle en fait quelque chose d'autre formulé de cette façon ? De nombreux formats posent cette question comme préalable à la question de suivi sur l'authentification multifacteur — si vous répondez « oui » à SSO mais n'avez pas d'AMF configurée sur l'IdP, cela représente une mesure partielle du point de vue d'un auditeur. Vérifiez cela avec la question sur l'authentification multifacteur avant de confirmer la réponse. Si vous n'avez SSO que sur une partie de vos systèmes — par exemple sur les applications SaaS, mais pas sur l'environnement legacy on-prem — une réponse nuancée assortie d'une explication est plus précise qu'un simple « oui ».

La politique d'accès et l'Annex A donnent le lieu exact de la source

La justification suit deux voies. Dans la directive NIS2, l'authentification relève des mesures de l'article 21, paragraphe 2, en particulier du point (i), concernant le contrôle d'accès et la gestion des ressources de l'entreprise — c'est là que la politique d'accès plus large est le point d'ancrage dans votre dossier de chaîne. Ceux qui travaillent selon ISO/IEC 27001 retrouvent SSO comme mise en œuvre des mesures de contrôle dans l'Annex A relatives à la gestion des identités et à l'authentification (A.5.15 à A.5.18 dans la version 2022). Si vous n'êtes pas certifiés, cela ne pose pas problème en soi pour cette réponse — la question concernant SSO est indépendante de la question de savoir si vous êtes certifiés. La Loi relative à la cybersécurité, qui transpose NIS2 aux Pays-Bas, n'ajoute pas d'exigence SSO distincte à ce sujet ; elle renvoie pour la mise en œuvre aux mêmes dix mesures de l'article 21, paragraphe 2.