upitnik pita o našoj politici lozinki, mora li biti zapisana pismeno

Politika lozinki dio je politike pristupa, a ne odvojena od nje

Da, pisano utvrđena politika lozinki norma je koju očekuje upitnik — no samim pitanja obično se intendira šire od samih lozinki. Članak 21 stavak 2 NIS2 ne navodi zasebnu "politiku lozinki" kao samostalnu mjeru; lozinke spadaju pod točku (i), politika kontrole pristupa, i pod točku (j), korištenje višefaktorske autentifikacije. Ako upitnik posebno pita o politici lozinki, obično se testira je li to dio šire politika pristupa pisano je utvrđeno: tko dobija koja prava, kako se gradi lozinka, koliko često se mijenja, što se događa pri otpustu.

Ako nemaš poseban dokument, pitanje je je li politika već negdje drugdje — na primjer u široj politici sigurnosti informacija ili u postavkama sustava za upravljanje identitetom i pristupom. ISO 27001 Prilog A koristi istu logiku: nema zasebne kontrole za lozinke, ali kontrola A.5.17 (informacije za autentifikaciju) spada pod temu upravljanja pristupom. Ako nemaš ISO certifikat i nemaš poseban dokument, tada je "ne" u ovom trenutku ispravan odgovor na zasebno pitanje o lozinci — eventualno sa pojašnjenjem da je višefaktorska autentifikacija ipak postavljena, što često ima veću težinu od same politike lozinki. To je zasebno pitanje na većini popisa, pogledajte pitanje o višefaktorskoj autentifikaciji.

Gdje se to nalazi: članak 21 stavak 2 točka i) i j)

Članak 21 stavak 2 Direktive (EU) 2022/2555 navodi pod točkom (i) "politiku i procedure u odnosu na korištenje kriptografije i, gdje je relevantno, šifriranja" nije kao mjesto pronalaženja lozinki — te spadaju pod "politiku kontrole pristupa" (točka i) u uobičajenoj prijevodi deset mjera) i pod višefaktorsku autentifikaciju (točka j). Zakon o kibernetskoj sigurnosti preuzima ovu podjelu čim stupi na snagu 15. kolovoza 2026. ISO/IEC 27001 Prilog A također smješta upravljanje lozinkama pod šire područje upravljanja pristupom, a ne kao samostalnu kontrolu.