dotazník se ptá, jak vypadá naše politika hesel

Zásady hesel spadají pod kontrolu přístupu, nikoli pod kryptografii

Otázka na zásady hesel patří pod kontrolu přístupu: kdo má přístup k jakému systému a jak se to kontroluje. Zákazníci se na to obvykle ptají jako na samostatnou otázku, ale v řetězovém spisu patří pod zásad přístupu a správy podnikových prostředků, nikoli pod šifrování. Nezaměňujte to: některé dotazníky omylem zařadí "zásady hesel" a "šifrování" do stejné sekce, ale jedná se o dvě různá opatření z článku 21 odstavce 2 NIS2 — kontrolu přístupu (pod h) a kryptografii (pod h je širší, šifrování je samostatně pod organizačními opatřeními tohoto odstavce).

Konkrétně požadovaný důkaz je obvykle: minimální délka hesla, frekvence změny nebo právě absence změny (novější praxe někdy periodické střídání nedoporučuje) a zda se používá správce hesel nebo jednotné přihlašování. Nemáte-li samostatný zdokumentovaný zásady hesel, ale máte zásady kontroly přístupu, ve kterých je to zahrnuto, je to často dostatečné jako podkladový důkaz — odpověď závisí na tom, jak přísně je otázka formulována. Pokud chybí zásady hesel úplně a také neexistuje vícefaktorové ověřování jako kompenzační opatření, pak je "ne" s krátkou poznámkou poctivější než "ano", které si nemůžete prosadit.

Kde se to v směrnici a normě nachází

Článek 21 odstavec 2 směrnice (EU) 2022/2555 uvádí zásady kontroly přístupu jako jedno z deseti povinných opatření pro subjekty, které spadají pod tuto směrnici; správa hesel je její standardní součástí. V ISO/IEC 27001 je to rozpracováno v příloze A pod beheersmaatregelen pro kontrolu přístupu. V průběhu nizozemské praxe se prozatím počítá se samotnou směrnicí, protože zákon o kybernetické bezpečnosti jako transpozice vstupuje v platnost 15. srpna 2026. Máte-li pochybnosti o tom, zda vaše podnik sem spadá samostatně, jedná se o samostatnou otázku, kterou odpovídáte zvlášť na zda podnik sám spadá pod směrnici NIS2.