lista kontrolna pyta o naszą politykę haseł, czy musi być napisana

Polityka haseł jest częścią polityki dostępu, nie odrębnie

Tak, pisemnie ustalona polityka haseł to norma, którą oczekuje lista kontrolna — ale samo pytanie jest zwykle szerzej pojęte niż tylko hasła. Artykuł 21 ust. 2 NIS2 nie wymienia oddzielnej "polityki haseł" jako samodzielnego środka; hasła podlegają punktowi (i), polityce kontroli dostępu, oraz punktowi (j), wykorzystaniu wieloskładnikowego uwierzytelniania. Jeśli lista kontrolna konkretnie pyta o politykę haseł, zwykle sprawdza się, czy jest ona częścią szerszej polityka dostępu pisemnie jest ustalona: kto uzyskuje jakie prawa, jak zbudowane jest hasło, jak często się zmienia, co dzieje się po zakończeniu stosunku pracy.

Jeśli nie masz oddzielnego dokumentu, pytanie brzmi, czy polityka już znajduje się gdzie indziej — na przykład w szerszej polityce bezpieczeństwa informacji lub w ustawieniach systemu zarządzania tożsamością i dostępem. ISO 27001 Annex A działa na tej samej zasadzie: nie ma oddzielnej kontroli dla haseł, ale kontrola A.5.17 (informacje uwierzytelniające) podlega tematowi zarządzania dostępem. Jeśli nie masz certyfikatu ISO i oddzielnego dokumentu, to "nie" w tym momencie jest prawidłową odpowiedzią na pytanie o samodzielną politykę haseł — ewentualnie z wyjaśnieniem, że wieloskładnikowe uwierzytelnianie jest jednak wdrożone, co często waży więcej niż sama polityka haseł. To ostatnie jest oddzielnym pytaniem w wielu listach, zobacz pytanie dotyczące uwierzytelniania wieloskładnikowego.

Gdzie to wynika: artykuł 21 ust. 2 lit. i i j

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia w lit. (i) «politykę i procedury dotyczące stosowania kryptografii i, w stosownych przypadkach, szyfrowania» nie jako źródło dla haseł — to podlega «polityce kontroli dostępu» (lit. i w powszechnym tłumaczeniu dziesięciu środków) i uwierzytelnianiu wieloskładnikowemu (lit. j). Ustawa o cyberbezpieczeństwie przejmuje ten podział, gdy wejdzie w życie 15 sierpnia 2026 r. ISO/IEC 27001 Annex A umieszcza również zarządzanie hasłami w ramach szerszego tematu zarządzania dostępem, a nie jako samodzielną kontrolę.

Na czym to się opiera

Sama rozporządzenie znajduje się na EUR-Lex. Powołujemy się na każde stwierdzenie; nie musisz nam wierzyć.

Co konkretnie musisz zrobić

Szczegóły dla każdego obowiązku, wraz z mającymi zastosowanie terminami i szablonami do ich dokumentacji, znajdują się w subskrypcji.

Zapoznaj się z subskrypcją Najpierw bezpłatny szybki przegląd

To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.