Používá se vícefaktorové ověřování pro přístup k firemním systémům?

MFA je explicitním desátým opatřením článku 21 odst. 2

Ano, tato otázka se týká doslova pojmenované položky na seznamu NIS2: článek 21 odst. 2 písm. j výslovně zmiňuje "použití řešení pro vícefaktorové ověřování nebo kontinuální ověřování". To činí tuto otázku odlišnou od většiny ostatních na takovém seznamu — není zde prostor pro výklad toho, co se myslí, pouze otázka, zda je implementováno a kde.

Praxe spočívá v rozsahu, nikoli v principu. Zákazník, který se ptá, zda se používá MFA, obvykle myslí: vztahuje se to na veškerý přístup k podnikovým systémům, nebo pouze na jeho část? MFA na VPN, ale ne na cloudové aplikace, nebo ano na účty správce, ale ne na běžné uživatele, je jiná odpověď než prosté ano. Tato položka tedy úzce souvisí s stanovenou zásadou přístupu a správou podnikových prostředků: bez přehledu, které systémy existují a kdo k nim má přístup, není "používá se MFA" otázkou typu ano nebo ne, ale otázkou obsahující procento. Kdo zná odpověď pouze pro svůj vlastní notebook a ne pro serverové prostředí, fakticky odpovídá na podmnožinu.

Kde se to v směrnici uvádí: článek 21 odst. 2 písm. j

Článek 21 odst. 2 Směrnice (EU) 2022/2555 vymezuje deset opatření, která musí subjekty přijmout jako součást svého řízení rizik; písmo j konkrétně zmiňuje vícefaktorové ověřování nebo kontinuální ověřování, vedle šifrované komunikace a zabezpečené nouzové komunikace. Toto opatření není izolované: odst. 1 téhož článku vyžaduje, aby byl celek přiměřený riziku, rozsahu a pravděpodobnosti incidentů, což zanechává prostor pro postupné zavedení, pokud je to stanoveno v zásadách. Zda je MFA pro vyplňující podnik samotný povinná, závisí na zda podnik spadá pod směrnici jako subjekt — dodavatel, který sám pod NIS2 nespadá, dostane tuto otázku pouze proto, že ji dostává jeho zákazník a řetězec se musí poptávat.