la lista pregunta cómo se ve nuestra política de contraseñas

La política de contraseñas se incluye en el control de acceso, no en la criptografía

La pregunta sobre la política de contraseñas corresponde al control de acceso: quién puede acceder a qué sistema y cómo se controla. Los clientes suelen hacer esta pregunta de forma aislada, pero en el expediente de la cadena corresponde a la política de acceso y la gestión de activos, no a la encriptación. No lo confundas: algunos cuestionarios incluyen "política de contraseñas" y "encriptación" por error en la misma sección, pero son dos medidas diferentes del artículo 21, apartado 2 de la NIS2 — control de acceso (en la letra h) y criptografía (la letra h es más amplia, la encriptación se encuentra por separado entre las medidas organizativas de ese apartado).

La prueba concretamente solicitada suele ser: una longitud mínima de contraseña, una frecuencia de cambio o precisamente la ausencia de esta (la práctica más reciente a veces desaconseja los cambios periódicos), y si se utiliza un gestor de contraseñas o un inicio de sesión único. Si no tienes una política de contraseñas documentada por separado pero sí una política de acceso que incluya esto, a menudo será suficiente como prueba subyacente — la respuesta depende de lo estricta que sea la formulación de la pregunta. Si la política de contraseñas falta completamente y tampoco hay autenticación multifactor como medida compensatoria, entonces es más honesto responder "no" con una breve explicación que un "sí" que no puedas justificar.

Dónde aparece en la directiva y la norma

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 menciona la política de control de acceso como una de las diez medidas obligatorias para las entidades incluidas en el ámbito de aplicación de la directiva; la gestión de contraseñas es una parte estándar de esto. En la ISO/IEC 27001 esto se desarrolla en el Anexo A, entre las medidas de control del control de acceso. Para la práctica holandesa, actualmente cuenta la propia directiva, porque la Ley de Ciberseguridad entra en vigor como transposición el 15 de agosto de 2026. Si tienes dudas sobre si tu empresa se incluye de forma independiente en esto, entonces es una pregunta aparte que contestas por separado en si la empresa se incluye de forma independiente en la Directiva NIS2.