ze vragen of onze medewerkers met één login inloggen op alles

SSO is een authenticatiemaatregel, geen aparte NIS2-eis

Single sign-on (SSO) staat niet als losse post in artikel 21 lid 2 van de NIS2-richtlijn. De vraag hoort thuis onder toegangsbeleid: hoe regel je wie bij welk systeem mag, en hoe controleer je dat. SSO is daarbij een middel, niet een doel — het antwoord dat je invult moet dus gaan over wat SSO in jouw omgeving oplost, niet over de tool zelf.

Belangrijk om te checken vóór je "ja" invult: gebruikt de vragenlijst "SSO" als synoniem voor gecentraliseerd identiteitsbeheer (één IdP, bijvoorbeeld Azure AD of Okta, voor de meeste bedrijfsapplicaties), of vraagt hij feitelijk naar iets anders dat toevallig zo geformuleerd is? Veel formats stellen deze vraag als opstap naar de vervolgvraag over meerfactorauthenticatie — als je "ja" zegt op SSO maar geen MFA op de IdP hebt staan, is dat vanuit een auditor bezien een halve maatregel. Check dat samen met de vraag over meerfactorauthenticatie voordat je het antwoord bevestigt. Heb je alleen SSO op een deel van de systemen — bijvoorbeeld wel op SaaS-applicaties, niet op de on-prem legacy-omgeving — dan is een genuanceerd antwoord met een toelichting preciezer dan een kaal "ja".

Toegangsbeleid en Annex A geven de precieze vindplaats

De onderbouwing loopt via twee sporen. In de NIS2-richtlijn valt authenticatie onder de maatregelen van artikel 21 lid 2, met name onder punt (i), over toegangscontrole en het beheer van bedrijfsmiddelen — daar is het bredere toegangsbeleid het aanknopingspunt in je ketendossier. Wie met ISO/IEC 27001 werkt, vindt SSO terug als invulling van de beheersmaatregelen in Annex A rond identity management en authenticatie (A.5.15 tot en met A.5.18 in de 2022-versie). Heb je geen certificaat, dan is dat op zichzelf geen probleem voor dit antwoord — de vraag naar SSO staat los van de vraag of je gecertificeerd bent. De Cyberbeveiligingswet, die NIS2 in Nederland omzet, voegt op dit punt geen aparte SSO-eis toe; ze verwijst voor de invulling terug naar dezelfde tien maatregelen uit artikel 21 lid 2.