de vil vide, hvordan vores adgangskodepolitik ser ud

Adgangskontrollen for passwords er del af adgangspolitikken, ikke af MFA

Spørgeskemaer præsenterer "adgangskontrollen for passwords" normalt som en separat linje, men svaret hører indholdsmæssigt under adgangspolitikken, herunder styringen af virksomhedsaktiver. Beskriv mindst: minimallængde, kompleksitetskrav, obligatorisk ændring ved mistanke om misbrug (ikke standardmæssig periodisk — det anses nu for forældet), og hvad der sker efter et antal mislykkede login-forsøg. Nævn også, om passwords administreres centralt via en password manager eller identitetsudbyder, eller om brugerne håndterer det selv.

En hyppig fejl: at beskrive adgangskontrollen for passwords separat fra multifaktor-godkendelse for adgang til virksomhedssystemer, mens kunden ofte netop ønsker at vide, om et svagt password kompenseres af en anden faktor. Placér disse to svar derfor ved siden af hinanden i kæden-dokumentet, selv hvis det koster spørgeren to separate spørgsmål — det sparer en forklaring, du ellers skal skrive igen og igen. Hvis du ikke har en fastlagt adgangspolitik for passwords, men alligevel kræver en password manager for alle, beskriv det faktisk; "nej" med en kort forklaring er et mere fuldstændigt svar end et "ja", der overestimerer praksis.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Adgangskontrollen for passwords er ikke som et særskilt punkt i artikel 21, stk. 2 i NIS2-direktivet; det falder under det bredere krav om adgangskontrol blandt disse ti foranstaltninger. I ISO/IEC 27001 Annex A findes det mere eksplicit som en kontrolforanstaltning inden for temaet adgangsbeveiliging. Spørgere, der søger efter "adgangskontrollen for passwords", låner normalt denne betegnelse fra Annex A, selv når de henviser til NIS2-forpligtelser — derfor ender svaret i praksis på det samme sted i dokumentet.