hoe beschrijf ik ons wachtwoordbeleid in de securityvragenlijst van de klant

Wachtwoordbeleid is onderdeel van toegangsbeheer, niet van cryptografie

De vraag naar wachtwoordbeleid staat meestal niet als losse vraag, maar als onderdeel van een breder blok over toegangsbeheer. Beschrijf daarom niet alleen de wachtwoordregels zelf — minimale lengte, complexiteit, vervaltermijn — maar plaats ze in de context van wie toegang heeft tot welk systeem en hoe dat wordt beheerd. Een klant die vraagt naar wachtwoordbeleid, vraagt in feite naar identity- en accessmanagement. Als het toegangsbeleid vastligt inclusief het beheer van bedrijfsmiddelen, is het wachtwoordbeleid daar één regel uit, niet een op zichzelf staand document.

Bij een leverancier die zelf onder een securitynorm valt, verwacht de klant meer dan alleen "wachtwoorden moeten minimaal 8 tekens zijn". Beschrijf of wachtwoordbeleid technisch wordt afgedwongen (via het domein of de identity provider) of alleen op papier staat, en of er een wachtwoordmanager verplicht of aangeraden wordt. Vermeld ook of gedeelde accounts bestaan en hoe daarmee wordt omgegaan — dat is vaak de vervolgvraag. Ontbreekt een formeel wachtwoordbeleid, dan is het eerlijker om dat te melden dan om een ja aan te vinken die het dossier niet kan onderbouwen; veel klanten accepteren een compenserende maatregel, zoals verplichte meerfactorauthenticatie voor toegang tot bedrijfssystemen, als alternatief voor een streng wachtwoordbeleid.

Waar dit in de tien maatregelen staat

Wachtwoordbeleid valt onder de maatregelen voor toegangscontrole in artikel 21 lid 2 van de NIS2-richtlijn, waar het samen met personeelsbeveiliging en het beheer van bedrijfsmiddelen als één van de tien te nemen maatregelen wordt genoemd. In ISO/IEC 27001 staat dit uitgewerkt in de beheersmaatregelen van Annex A, onder de categorie toegangsbeveiliging — daar wordt wachtwoordbeleid nadrukkelijk gekoppeld aan het bredere authenticatiebeleid, niet aan losstaande technische instellingen. Voor leveranciers die onder de Cyberbeveiligingswet gaan vallen zodra die in werking treedt, geldt naar verwachting dezelfde indeling, omdat die wet de indeling van de richtlijn volgt.