enkäten frågar efter vår lösenordspolicy, måste det dokumenteras skriftligt

Lösenordspolicy hör till åtkomstpolicy, inte separat

Ja, en skriftligt fastställd lösenordspolicy är den norm som frågelistan förväntar — men själva frågan är vanligtvis bredare än bara lösenord. Artikel 21 punkt 2 NIS2 nämner ingen separat "lösenordspolicy" som en separat åtgärd; lösenord faller under punkt (i), åtkomstcontrollpolicy, och under punkt (j), användningen av multifaktorautentisering. Om frågelistan specifikt frågar om lösenordspolicy, testas vanligtvis om det är en del av en bredare åtkomstpolicy skriftligt fastställt: vem får vilka rättigheter, hur är ett lösenord uppbyggt, hur ofta ändras det, vad händer vid avslut av anställning.

Har du inget separat dokument, är frågan om policyn finns någon annanstans — till exempel i en bredare informationssäkerhetspolicy eller i inställningarna för ditt identitets- och åtkomsthanteringssystem. ISO 27001 Annex A använder samma logik: det finns ingen separat kontroll för lösenord, men kontroll A.5.17 (autentiseringsinformation) faller under temat åtkomsthantering. Har du inget ISO-certifikat och inget separat dokument, är "nej" för närvarande det korrekta svaret på den separata lösenordsfrågan — eventuellt med en förklaring att multifaktorautentisering är implementerad, vilket ofta väger tyngre än själva lösenordspolicyn. Den senare är en separat fråga i många listor. se frågan om multifaktorautentisering.

Var detta följer från: artikel 21 punkt 2 sub i och j

Artikel 21 punkt 2 i Direktiv (EU) 2022/2555 nämner under sub (i) "policy och procedurer angående användningen av kryptografi och, där relevant, kryptering" inte som källan för lösenord — de faller under "åtkomstcontrollpolicy" (sub i i den gängse översättningen av de tio åtgärderna) och under multifaktorautentisering (sub j). Cybersäkerhetslag kommer att tillämpa denna klassificering när den träder i kraft den 15 augusti 2026. ISO/IEC 27001 Annex A placerar lösenordshantering även under det bredare temat åtkomsthantering, inte som en självständig kontroll.