vragenlijst vraagt naar ons wachtwoordbeleid hoe antwoord ik dat

Wachtwoordbeleid valt onder toegangsbeveiliging, niet onder authenticatie apart

Wachtwoordbeleid antwoord je meestal samen met het bredere toegangsbeleid: wie mag bij welk systeem, hoe wordt dat toegekend en ingetrokken, en welke eisen gelden er voor wachtwoorden zelf. Concreet gaat het om minimale lengte, complexiteit, verplichte wijziging bij verdenking van misbruik, en het verbod op hergebruik van oude wachtwoorden. Veel portalen vragen dit als losse vraag, maar in het ketendossier hoort dit bij het toegangsbeleid, inclusief het beheer van bedrijfsmiddelen — daar leg je vast welk beleid er is en wie erop toeziet.

Heb je geen los, gedocumenteerd wachtwoordbeleid maar wel praktijk-afspraken — bijvoorbeeld via een password manager of afgedwongen instellingen in Active Directory — dan is dat vaak voldoende als onderbouwing, mits je het kunt aantonen. Ontbreekt elke vastlegging, dan is "nee" het eerlijke antwoord; een vermoeden invullen als bewijs helpt niet bij een audit. Let op de combinatie met meerfactorauthenticatie voor toegang tot bedrijfssystemen: steeds meer klanten vragen dit als aanvulling op of vervanging van een streng wachtwoordbeleid, omdat MFA het risico van een zwak wachtwoord grotendeels ondervangt.

Terug te voeren op artikel 21 lid 2 en Annex A

Wachtwoordbeleid is geen zelfstandige verplichting maar een uitwerking van de maatregelen rond toegangscontrole. In artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) staat toegangscontrole en assetbeheer genoemd als een van de tien verplichte maatregelen; wachtwoordbeleid is daar de meest concrete invulling van. In Annex A van ISO/IEC 27001 komt dit terug onder de beheersmaatregelen voor toegangsbeheer en authenticatie-informatie. Een organisatie die voor die norm gecertificeerd is, heeft wachtwoordbeleid vrijwel altijd al gedocumenteerd liggen als onderdeel van het bredere toegangsbeleid.