Används multifaktorautentisering för åtkomst till företagssystem?

MFA är den explicita tionde åtgärden i artikel 21 stycke 2

Ja, denna fråga avser en bokstavligen namngiven del av NIS2-listan: artikel 21 stycke 2 punkt j nämner "användningen av lösningar för flerfaktorsautentisering eller kontinuerlig autentisering" vid namn. Det gör denna fråga annorlunda än de flesta andra på en sådan lista — det finns inget tolkningsutrymme för vad som avses, bara för frågan om det har implementerats och var.

Praktiken ligger i täckningen, inte i principen. En kund som frågar om MFA används, avser vanligtvis: gäller detta för all åtkomst till företagssystem, eller bara för en del? MFA på VPN men inte på molnapplikationer, eller på administratörskonten men inte på vanliga användare, är ett annat svar än ett blankt ja. Denna del är därför nära kopplad till den dokumenterade åtkomstpolicyn och hanteringen av företagsmaterial: utan en översikt över vilka system som finns och vem som har åtkomst till dem, är "används MFA" inte en ja-eller-nej-fråga utan en fråga med en procentandel i sig. Den som bara kan svara på frågan för sin egen bärbara dator och inte för servermiljön, svarar faktiskt på en delmängd.

Där det står i direktivet: artikel 21 stycke 2 punkt j

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 räknar upp tio åtgärder som enheter måste vidta som en del av sin riskhantering; punkt j nämner flerfaktorsautentisering eller kontinuerlig autentisering specifikt, tillsammans med krypterad kommunikation och säkrad nödkommunikation. Denna åtgärd är inte isolerad: stycke 1 i samma artikel kräver att det hela är proportionerligt mot risken, omfattningen och sannolikheten för incidenter, vilket lämnar utrymme för en fasvis utbyggnad så länge det är policybestämt. Huruvida MFA är obligatorisk för det utfyllande företaget själv beror på om företaget faller under direktivet som enhet — en leverantör som själv inte faller under NIS2 får denna fråga bara för att hans kund gör det och kedjan måste frågas ut.