le questionnaire demande notre politique de mots de passe, doit-elle être documentée par écrit

La politique de mot de passe relève de la politique d'accès, pas isolément

Oui, une politique de mot de passe consignée par écrit est la norme que le questionnaire s'attend à trouver — mais la question elle-même a généralement une portée plus large que les seuls mots de passe. L'article 21, paragraphe 2, NIS2 ne mentionne pas de « politique de mot de passe » distincte en tant que mesure isolée ; les mots de passe relèvent du point (i), politique de contrôle d'accès, et du point (j), l'utilisation de l'authentification multifacteur. Si le questionnaire demande spécifiquement une politique de mot de passe, on évalue généralement si elle fait partie d'une politique plus large politique d'accès consignée par écrit : qui reçoit quels droits, comment un mot de passe est-il structuré, à quelle fréquence est-il renouvelé, que se passe-t-il lors du départ de l'entreprise.

Si vous ne disposez pas d'un document distinct, la question est de savoir si la politique existe ailleurs — par exemple dans une politique de sécurité de l'information plus large ou dans les paramètres de votre système de gestion des identités et des accès. ISO 27001 Annex A fonctionne selon la même logique : il n'existe pas de contrôle distinct pour les mots de passe, mais le contrôle A.5.17 (information d'authentification) relève du thème de la gestion de l'accès. Si vous n'avez pas de certificat ISO ni de document distinct, alors « non » est actuellement la réponse correcte à la question isolée sur les mots de passe — éventuellement accompagnée d'une explication selon laquelle l'authentification multifacteur est bien mise en place, ce qui pèse souvent plus lourd que la politique de mot de passe elle-même. Cette dernière est une question séparée dans de nombreux questionnaires. voir la question sur l'authentification multifacteur.

D'où cela découle : article 21, paragraphe 2, points i et j

L'article 21, paragraphe 2, point (i) de la Directive (UE) 2022/2555 mentionne « une politique et des procédures concernant l'utilisation de la cryptographie et, le cas échéant, du chiffrement » ne s'applique pas comme source pour les mots de passe — ceux-ci relèvent de la « politique de contrôle d'accès » (point i dans la traduction courante des dix mesures) et de l'authentification multifacteur (point j). La Cybersecurity Act reprendra cette classification dès son entrée en vigueur le 15 août 2026. ISO/IEC 27001 Annex A place également la gestion des mots de passe sous le thème plus large de la gestion de l'accès, et non en tant que contrôle autonome.