chestionarul întreabă cum arată politica noastră de parolă

Politica parolelor se încadrează în controlul accesului, nu în criptografie

Întrebarea privind politica parolelor aparține controlului accesului: cine are acces la care sistem și cum se verifică acest lucru. Clienții întreabă de obicei aceasta ca o întrebare separată, dar în dosarul lanțului aparține la politica de acces și gestiunea activelor de afaceri, nu la criptare. Nu confunda: unele chestionare pun "politica parolelor" și "criptare" din greșeală în aceeași secțiune, dar sunt două măsuri diferite din articolul 21 alineatul 2 NIS2 — controlul accesului (sub h) și criptografia (sub h este mai larg, criptarea se află separat sub măsurile organizatorice ale acestui alineat).

Dovezile concrete cerute de obicei sunt: o lungime minimă a parolei, o frecvență de schimbare sau tocmai absența acesteia (practica mai recentă recomandă uneori împotriva schimbării periodice), și dacă se utilizează un manager de parole sau single sign-on. Dacă nu ai o politică de parole documentată separat, dar ai o politică de acces care include aceasta, aceasta este adesea suficientă ca dovadă suport — răspunsul depinde de cât de strict este formulată întrebarea. Dacă politica parolelor lipsește cu totul și nici nu există autentificare multifactor ca măsură compensatorie, atunci un "nu" cu o scurtă explicație este mai cinstit decât un "da" pe care nu poți să îl susții.

Unde apare în directivă și în normă

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 enumeră politica de control al accesului ca una dintre cele zece măsuri obligatorii pentru entitățile care se încadrează în directivă; gestionarea parolelor este o parte standard a acesteia. În ISO/IEC 27001 aceasta este detaliată în Anexa A, sub măsurile de control pentru controlul accesului. Pentru practica din Țările de Jos, pentru moment se aplică directiva însăși, deoarece Legea privind securitatea cibernetică intră în vigoare ca transpunere pe 15 august 2026. Dacă te îndoiești dacă întreprinderea ta se încadrează independent aici, aceasta este o întrebare separată pe care o răspunzi separat la dacă întreprinderea se încadrează sub Directiva NIS2.