Wordt meerfactorauthenticatie gebruikt voor toegang tot bedrijfssystemen?

MFA is de expliciete tiende maatregel van artikel 21 lid 2

Ja, deze vraag gaat over een letterlijk genoemd onderdeel van de NIS2-lijst: artikel 21 lid 2 sub j noemt "het gebruik van oplossingen voor multifactorauthenticatie of continue authenticatie" met naam. Dat maakt deze vraag anders dan de meeste andere op zo'n lijst — er is geen interpretatieruimte over wat er wordt bedoeld, alleen over de vraag of het is geïmplementeerd en waar.

De praktijk zit in de dekking, niet in het principe. Een klant die vraagt of MFA wordt gebruikt, bedoelt meestal: geldt dit voor alle toegang tot bedrijfssystemen, of alleen voor een deel? MFA op de VPN maar niet op cloudapplicaties, of wel op beheeraccounts maar niet op reguliere gebruikers, is een ander antwoord dan een blanco ja. Dit onderdeel hangt daarom nauw samen met het vastgelegde toegangsbeleid en het beheer van bedrijfsmiddelen: zonder een overzicht van wélke systemen er zijn en wie daar toegang toe heeft, is "wordt MFA gebruikt" geen ja-of-nee-vraag maar een vraag met een percentage erin. Wie het antwoord alleen kent voor de eigen laptop en niet voor de serveromgeving, antwoordt feitelijk over een deelverzameling.

Waar dat in de richtlijn staat: artikel 21 lid 2 sub j

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 somt tien maatregelen op die entiteiten moeten nemen als onderdeel van hun risicobeheer; sub j noemt multifactorauthenticatie of continue authenticatie specifiek, naast versleutelde communicatie en beveiligde noodcommunicatie. Deze maatregel staat niet los: lid 1 van hetzelfde artikel eist dat het geheel evenredig is aan het risico, de omvang en de kans op incidenten, wat ruimte laat voor een gefaseerde uitrol zolang dat beleidsmatig is vastgelegd. Of MFA verplicht is voor de invullende onderneming zelf, hangt af van of de onderneming onder de richtlijn valt als entiteit — een leverancier die zelf niet onder NIS2 valt, krijgt deze vraag alleen omdat zijn klant dat wel doet en de keten moet uitvragen.