il questionario chiede come è strutturata la nostra politica sulle password

La politica delle password rientra nella sicurezza dell'accesso, non nella crittografia

La domanda sulla politica delle password appartiene alla sicurezza dell'accesso: chi può accedere a quale sistema e come viene controllato. I clienti solitamente pongono questa domanda come una questione separata, ma nel fascicolo della catena appartiene a la politica di accesso e la gestione dei beni aziendali, non alla crittografia. Non confondete: alcuni questionari inseriscono per errore "politica delle password" e "crittografia" nella stessa sezione, ma si tratta di due diverse misure dell'articolo 21 comma 2 NIS2 — controllo dell'accesso (lettera h) e crittografia (la lettera h è più ampia, la crittografia è separata nelle misure organizzative di quel comma).

Le prove concretamente richieste sono solitamente: una lunghezza minima della password, una frequenza di modifica o l'assenza di essa (la pratica più recente a volte sconsiglia la modifica periodica), e se viene utilizzato un gestore di password o un single sign-on. Se non disponi di una politica delle password separatamente documentata ma hai una politica di accesso che include questo aspetto, spesso è sufficiente come prova sottostante — la risposta dipende da quanto rigorosamente è formulata la domanda. Se la politica delle password è completamente assente e non esiste nemmeno autenticazione multifattore come misura compensativa, allora un "no" con una breve spiegazione è più onesto di un "sì" che non puoi supportare.

Dove si trova nella direttiva e nella norma

L'articolo 21 comma 2 della Direttiva (UE) 2022/2555 menziona la politica di controllo dell'accesso come una delle dieci misure obbligatorie per le entità che rientrano nella direttiva; la gestione delle password è una parte standard di questo. Nello standard ISO/IEC 27001 questo è dettagliato nell'Allegato A, tra le misure di controllo per la sicurezza dell'accesso. Per la pratica olandese, al momento conta la direttiva stessa, perché la Legge sulla sicurezza informatica entrerà in vigore come trasposizione il 15 agosto 2026. Se dubbi se la tua azienda vi rientra autonomamente, allora è una domanda separata che rispondi separatamente su se l'azienda stessa rientra nella direttiva NIS2.