vragenlijst vraagt hoe ons wachtwoordbeleid eruitziet

Wachtwoordbeleid valt onder toegangsbeveiliging, niet onder cryptografie

De vraag naar wachtwoordbeleid hoort bij toegangsbeveiliging: wie mag bij welk systeem, en hoe wordt dat gecontroleerd. Klanten vragen dit meestal als losse vraag, maar in het ketendossier hoort het thuis bij het toegangsbeleid en het beheer van bedrijfsmiddelen, niet bij versleuteling. Verwar dat niet: sommige vragenlijsten zetten "wachtwoordbeleid" en "encryptie" per ongeluk in dezelfde sectie, maar het zijn twee verschillende maatregelen uit artikel 21 lid 2 NIS2 — toegangscontrole (onder h) en cryptografie (onder h is breder, encryptie zit apart onder de organisatorische maatregelen van dat lid).

Concreet gevraagd bewijs is meestal: een minimale wachtwoordlengte, een wisselfrequentie of juist het ontbreken daarvan (de nieuwere praktijk raadt periodiek wisselen soms af), en of er een wachtwoordmanager of single sign-on wordt gebruikt. Heb je geen apart gedocumenteerd wachtwoordbeleid maar wel een toegangsbeleid waarin dit is meegenomen, dan is dat vaak voldoende als onderliggend bewijs — het antwoord hangt af van hoe strikt de vraag is geformuleerd. Ontbreekt het wachtwoordbeleid volledig en is er ook geen meerfactorauthenticatie als compenserende maatregel, dan is "nee" met een korte toelichting eerlijker dan een "ja" dat je niet kunt onderbouwen.

Waar dat in de richtlijn en de norm staat

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt toegangscontrolebeleid als een van de tien verplichte maatregelen voor entiteiten die onder de richtlijn vallen; wachtwoordbeheer is daar een standaardonderdeel van. In ISO/IEC 27001 staat dit uitgewerkt in Annex A, onder de beheersmaatregelen voor toegangsbeveiliging. Voor de Nederlandse praktijk telt vooralsnog de richtlijn zelf, omdat de Cyberbeveiligingswet als omzetting per 15 augustus 2026 in werking treedt. Twijfel je of jouw onderneming hier zelfstandig onder valt, dan is dat een aparte vraag die je apart beantwoordt bij of de onderneming zelf onder de NIS2-richtlijn valt.