le questionnaire demande à quoi ressemble notre politique de mot de passe

La politique de mot de passe relève de la sécurité d'accès, non de la cryptographie

La question relative à la politique de mot de passe relève de la sécurité d'accès : qui peut accéder à quel système et comment cela est-il contrôlé. Les clients posent généralement cette question comme une question isolée, mais dans le dossier de chaîne, elle appartient à la politique d'accès et de la gestion des actifs, non pas au chiffrement. Ne confondez pas : certains questionnaires placent « politique de mot de passe » et « chiffrement » par erreur dans la même section, mais ce sont deux mesures différentes de l'article 21, paragraphe 2 de la directive NIS2 — contrôle d'accès (point h) et cryptographie (le point h est plus large, le chiffrement figure séparément parmi les mesures organisationnelles de ce paragraphe).

Concrètement, la preuve demandée est généralement : une longueur de mot de passe minimale, une fréquence de changement ou justement l'absence de celle-ci (la pratique la plus récente déconseille parfois les changements périodiques), et si un gestionnaire de mots de passe ou une authentification unique est utilisé. Si vous n'avez pas de politique de mot de passe documentée séparément mais une politique d'accès dans laquelle cela est inclus, c'est souvent suffisant comme preuve sous-jacente — la réponse dépend de la rigueur de la formulation de la question. Si la politique de mot de passe fait complètement défaut et qu'il n'existe pas non plus de l'authentification multifacteur comme mesure compensatoire, alors « non » avec une brève explication est plus honnête qu'un « oui » que vous ne pouvez pas justifier.

Où cela figure dans la directive et la norme

L'article 21, paragraphe 2 de la directive (UE) 2022/2555 mentionne une politique de contrôle d'accès comme l'une des dix mesures obligatoires pour les entités relevant de la directive ; la gestion des mots de passe en est une composante standard. Dans la norme ISO/IEC 27001, cela est détaillé en annexe A, sous les mesures de contrôle pour la sécurité d'accès. Pour la pratique néerlandaise, c'est actuellement la directive elle-même qui compte, car la Cybersecurity Act en tant que transposition entrera en vigueur le 15 août 2026. Si vous doutez que votre entreprise relève indépendamment de cette directive, c'est une question distincte à laquelle vous répondez séparément auprès de ou si l'entreprise elle-même relève de la directive NIS2.