popis pitanja pita kako naša politika lozinki izgleda

Pravilnik o lozinkama pada pod kontrolu pristupa, a ne pod kriptografiju

Pitanje o pravilniku o lozinkama spada pod kontrolu pristupa: tko smije pristupiti kojem sustavu i kako se to provjerava. Kupci obično ovo pitaju kao zasebno pitanje, ali u lancima podataka to pripada pod politiku pristupa i upravljanje poslovnom imovinom, a ne pod šifriranje. Nemojte to miješati: neki upitnici postavljaju "pravilnik o lozinkama" i "enkripciju" slučajno u isti dio, ali to su dvije različite mjere iz članka 21. stavka 2. NIS2 — kontrola pristupa (pod h) i kriptografija (pod h je šira, šifriranje je zasebno pod organizacijskim mjerama tog stavka).

Konkretno traženi dokazi obično su: minimalna duljina lozinke, učestalost promjene ili upravo njezina odsutnost (novija praksa ponekad savjetuje periodičku promjenu), i koristi li se upravitelj lozinki ili jedinstvena prijava. Ako nemate zasebnu dokumentiranu politiku lozinki, ali imate politiku pristupa u koju je to uključeno, to je često dovoljan temeljni dokaz — odgovor ovisi o tome kako je strogo pitanje formulirano. Ako nedostaje politika lozinki u cijelosti i nema autentifikacija s više čimbenika kao kompenzirajuće mjere, tada je "ne" s kratkim objašnjenjem poštenije nego "da" koji ne možete potkrijepiti.

Gdje je to navedeno u Direktivi i normi

Članak 21. stavak 2. Direktive (EU) 2022/2555 navodi pravilnik o kontroli pristupa kao jednu od deset obveznih mjera za subjekte na koje se Direktiva primjenjuje; upravljanje lozinkama standardni je dio toga. U ISO/IEC 27001 to je razrađeno u Aneksu A, pod mjere upravljanja za kontrolu pristupa. Za nederlandsku praksu, zasad se broji samo sama Direktiva, jer će Zakon o kibernetskoj sigurnosti kao transpozicija stupiti na snagu 15. siječnja 2026. Ako sumnjate vrijedi li vašoj tvrtki ovo pravilo, to je zasebno pitanje koje odgovorite zasebno pri jesu li poduzećem predmet Direktive NIS2.