Fragebogen fragt nach unserer Passwortrichtlinie, muss diese schriftlich festgehalten sein

Passwortrichtlinie gehört zur Zugriffsrichtlinie, nicht separat daneben

Ja, eine schriftlich festgelegte Passwortrichtlinie ist der Standard, den der Fragebogen erwartet — aber die Frage selbst wird meist breiter ausgelegt als nur Passwörter. Artikel 21 Absatz 2 NIS2 nennt keine separate "Passwortrichtlinie" als eigenständige Maßnahme; Passwörter fallen unter Punkt (i), Zugriffsschutzrichtlinie, und unter Punkt (j), die Verwendung von Mehrfaktor-Authentifizierung. Wenn der Fragebogen speziell nach Passwortrichtlinie fragt, wird meist geprüft, ob dies Bestandteil einer breiteren Zugangsrichtlinie schriftlich ist festgelegt: wer welche Rechte erhält, wie wird ein Passwort aufgebaut, wie häufig wird es gewechselt, was passiert bei Ausscheiden aus dem Dienst.

Hast du kein separates Dokument, dann ist die Frage, ob die Richtlinie irgendwo anders bereits vorhanden ist — beispielsweise in einer breiteren Informationssicherheitsrichtlinie oder in den Einstellungen deines Identity- und Access-Management-Systems. ISO 27001 Annex A arbeitet nach der gleichen Logik: es gibt keine separate Kontrolle für Passwörter, aber Kontrolle A.5.17 (Authentifizierungsinformationen) fällt unter das Thema Zugriffskontrolle. Hast du kein ISO-Zertifikat und kein separates Dokument, dann ist "nein" zur Zeit die richtige Antwort auf die separate Passwortfrage — möglicherweise mit einem Hinweis, dass Mehrfaktor-Authentifizierung wohl eingerichtet ist, was oft höher bewertet wird als die Passwortrichtlinie selbst. Letztere ist eine separate Frage in vielen Listen. siehe die Frage zur Mehrfaktor-Authentifizierung.

Wovon dies folgt: Artikel 21 Absatz 2 Unterabsatz i und j

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt unter Unterabsatz (i) "Richtlinien und Verfahren für die Verwendung von Kryptografie und, sofern relevant, Verschlüsselung" nicht als Fundstelle für Passwörter — diese fallen unter "Zugriffsschutzrichtlinie" (Unterabsatz i in der gängigen Übersetzung der zehn Maßnahmen) und unter Mehrfaktor-Authentifizierung (Unterabsatz j). Das Cybersicherheitsgesetz übernimmt diese Einteilung, sobald es am 15. August 2026 in Kraft tritt. ISO/IEC 27001 Annex A ordnet Passwortmanagement ebenfalls unter das breitere Thema Zugriffskontrolle ein, nicht als eigenständige Kontrolle.