vragenlijst vraagt naar ons wachtwoordbeleid, moet dat schriftelijk vastgelegd zijn

Wachtwoordbeleid hoort bij toegangsbeleid, niet los ernaast

Ja, een schriftelijk vastgelegd wachtwoordbeleid is de norm die de vragenlijst verwacht — maar de vraag zelf is meestal breder bedoeld dan alleen wachtwoorden. Artikel 21 lid 2 NIS2 noemt geen apart "wachtwoordbeleid" als losse maatregel; wachtwoorden vallen onder punt (i), toegangscontrolebeleid, en onder punt (j), het gebruik van meerfactorauthenticatie. Als de vragenlijst specifiek naar wachtwoordbeleid vraagt, wordt meestal getoetst of dat onderdeel van een breder toegangsbeleid schriftelijk is vastgelegd: wie krijgt welke rechten, hoe wordt een wachtwoord opgebouwd, hoe vaak wisselt het, wat gebeurt er bij uitdiensttreding.

Heb je geen los document, dan is de vraag of het beleid ergens anders al staat — bijvoorbeeld in een breder informatiebeveiligingsbeleid of in de instellingen van je identity- en accessmanagementsysteem. ISO 27001 Annex A werkt met dezelfde logica: er is geen aparte control voor wachtwoorden, maar control A.5.17 (authenticatie-informatie) valt onder het thema toegangsbeheer. Heb je geen ISO-certificaat en geen apart document, dan is "nee" op dit moment het juiste antwoord op de losse wachtwoordvraag — met eventueel een toelichting dat meerfactorauthenticatie wél is ingericht, wat vaak zwaarder telt dan het wachtwoordbeleid zelf. Dat laatste is een aparte vraag in veel lijsten, zie de vraag over meerfactorauthenticatie.

Waar dit uit volgt: artikel 21 lid 2 sub i en j

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt onder sub (i) "beleid en procedures met betrekking tot het gebruik van cryptografie en, indien relevant, versleuteling" niet als vindplaats voor wachtwoorden — die valt onder "toegangscontrolebeleid" (sub i in de gangbare vertaling van de tien maatregelen) en onder multifactorauthenticatie (sub j). De Cyberbeveiligingswet neemt deze indeling over zodra die op 15 augustus 2026 in werking treedt. ISO/IEC 27001 Annex A plaatst wachtwoordbeheer eveneens onder het bredere thema toegangsbeheer, niet als zelfstandige control.