Vprašalnik prosi, kako izgleda naša politika gesel

Politika gesel spada pod nadzor dostopa, ne pod kriptografijo

Vprašanje o politiki gesla sodi med nadzor dostopa: kdo ima dostop do katerega sistema in kako se to kontrolira. Stranke to običajno vprašajo kot ločeno vprašanje, vendar v verigi dokumentacije sodi med politiko dostopa in upravljanje sredstev podjetja, ne med šifriranje. Ne zamešaj tega: nekatere vprašalnike postavljajo "politiko gesla" in "šifriranje" po pomoti v isti razdelek, vendar sta to dve različni ukrepi iz člena 21(2) Direktive NIS2 — nadzor dostopa (pod h) in kriptografija (pod h je širša, šifriranje je ločeno pod organizacijskimi ukrepi tega člena).

Konkretno zahtevano dokazilo je običajno: minimalna dolžina gesla, pogostost spremembe ali ravno odsotnost tega (novejša praksa občasno odsvetuje periodično spreminjanje), in ali se uporablja upravitelj gesel ali enotna prijava. Če nimaš ločene dokumentirane politike gesel, vendar imaš politiko dostopa, v kateri je to vključeno, je to pogosto zadosten dokaz — odgovor je odvisen od tega, kako strogo je vprašanje postavljeno. Če politika gesel v celoti manjka in tudi ni večfaktorska avtentifikacija kot nadomestni ukrep, je "ne" s kratkim pojasnialom bolj iskreno kot "ja", ki ga ne moreš podpreti.

Kje je to v Direktivi in normi

Člen 21(2) Direktive (EU) 2022/2555 našteva politiko nadzora dostopa kot enega od desetih obveznih ukrepov za subjekte, ki spadajo pod direktivo; upravljanje gesel je tam standarden del. V ISO/IEC 27001 je to razloženo v Prilogi A, med ukrepi za nadzor dostopa. Za nizozemsko prakso trenutno velja sama direktiva, ker bo Zakon o kibernetski varnosti kot prevzem začel veljati 15. avgusta 2026. Če dvomiš, ali tvoje podjetje neposredno spada pod to, je to ločeno vprašanje, ki ga odgovoriš posebej pri ali podjetje samo spada pod Direktivo NIS2.