el cliente pregunta sobre nuestra política de contraseñas qué debo responder

La política de contraseñas es parte del control de acceso, no de criptografía

La política de contraseñas se encuentra bajo control de acceso, no bajo criptografía o autenticación por separado. Si el cuestionario pregunta por "password policy" o "política de contraseñas", generalmente se verifica si existen requisitos mínimos establecidos: longitud mínima, complejidad, cambio obligatorio en caso de sospecha de compromiso, y prohibición de reutilizar contraseñas antiguas. Es suficiente un documento de política que contenga esos puntos, más una configuración técnica que los refuerce — no solo una directriz que se espera que sigan los empleados. Si falta el documento pero la configuración está correcta en Active Directory o en el proveedor de identidad, esto suele ser suficiente como prueba; una captura de pantalla de la política en la gestión del sistema es entonces suficiente.

Si no tienes una política de contraseñas separada pero sí tienes autenticación multifactor obligatoria para todos los sistemas empresariales, esa respuesta suele ser más sólida que una política de contraseñas sola — muchos cuestionarios lo preguntan como punto separado, véase o si la autenticación multifactor es obligatoria para el acceso a sistemas empresariales. Rellénalo como complemento, no como sustitución: un cliente que pregunta específicamente por política de contraseñas querrá ver ese punto respondido por separado. Si no has documentado nada, entonces "no" con una aclaración de que MFA es obligatoria suele ser más honesto y completo que un vago "sí" a una pregunta que no puedes respaldar con un documento.

Dónde consta en la norma y la directriz

ISO/IEC 27001 Annex A contiene una medida de control específica para información de autenticación, incluida la gestión de contraseñas; quien esté certificado para esto puede remitirse a ello como prueba, véase si la empresa está certificada en ISO 27001. NIS2 en sí no menciona la política de contraseñas como punto separado entre las diez medidas del artículo 21, apartado 2 — se enmarca en la categoría más amplia de control de acceso y seguridad de sistemas. Los cuestionarios que hacen referencia a NIS2 suelen traducir ese punto más amplio ellos mismos en una pregunta concreta sobre contraseñas; el requisito subyacente es entonces la política de acceso en su conjunto, no las contraseñas específicamente.