spørgeskemaet spørger om vores adgangskodepolitik, skal det være skriftligt fastsat

Passwordpolitik hører til adgangskontrolpolitik, ikke separat fra det

Ja, en skriftligt fastlagt passwordpolitik er den norm, som spørgeskemaet forventer — men selve spørgsmålet er normalt bredere end kun adgangskoder. Artikel 21, stk. 2 i NIS2 nævner ingen separat "passwordpolitik" som en løs foranstaltning; adgangskoder falder under punkt (i), adgangskontrolpolitik, og under punkt (j), brugen af multifaktor-godkendelse. Når spørgeskemaet specifikt spørger om passwordpolitik, testes normalt, om det er en del af en bredere adgangspolitik skriftligt fastlagt: hvem får hvilke rettigheder, hvordan er en adgangskode opbygget, hvor ofte skiftes den, hvad sker der ved fratræden.

Hvis du ikke har et separat dokument, er spørgsmålet, om politikken allerede findes andre steder — for eksempel i en bredere informationssikkerhedspolitik eller i indstillingerne for dit identitets- og accessmanagementsystem. ISO 27001 Annex A arbejder efter den samme logik: der er ingen separat kontrol for adgangskoder, men kontrol A.5.17 (godkendelsesinformation) falder under temaet adgangskontrol. Hvis du ikke har et ISO-certifikat og intet separat dokument, er "nej" på nuværende tidspunkt det rigtige svar på det separate passwordspørgsmål — eventuelt med en præcisering om, at multifaktor-godkendelse faktisk er etableret, hvilket ofte vægter tungere end selve passwordpolitikken. Sidstnævnte er et separat spørgsmål i mange lister, se spørgsmålet om multifaktor-godkendelse.

Hvor dette følger fra: artikel 21, stk. 2, litra i og j

Artikel 21, stk. 2, litra i og j i Direktiv (EU) 2022/2555 nævner under litra i "politikker og procedurer vedrørende brugen af kryptografi og, hvor relevant, kryptering" ikke som kildestedfor adgangskoder — disse falder under "adgangskontrolpolitik" (litra i i den sædvanlige oversættelse af de ti foranstaltninger) og under multifaktor-godkendelse (litra j). Cybersikkerhedsloven overtager denne inddeling, så snart den træder i kraft den 15. august 2026. ISO/IEC 27001 Annex A placerer passwordstyring ligeledes under det bredere tema adgangskontrol, ikke som en selvstændig kontrol.