a kérdőív a jelszavakra vonatkozó irányelvünkre kérdez rá, azt írásban kell rögzíteni

A jelszóházirendet a hozzáférési házirendhez kell sorolni, nem önálló elemként

Igen, az írásos rögzítésre kerülő jelszóházirendet a kérdőív elvárja — azonban maga a kérdés általában szélesebb körűen értelmezendő, mint csupán a jelszavak. A NIS2 irányelv 21. cikke 2. bekezdése nem említi külön a "jelszóhálózat" önálló intézkedésként; a jelszavak az (i) pont, a hozzáférési házirendet, valamint a (j) pont, a többfaktoros hitelesítés használatát érintik. Ha a kérdőív specifikusan jelszóhálózatra kérdez rá, akkor általában azt vizsgálják, hogy az szélesebb körű házirendrend része-e hozzáférési politika írásos rögzítésre került: ki milyen jogosultságokat kap, hogyan épül fel egy jelszó, milyen gyakorisággal változik, mi történik a munkaviszony megszűnésekor.

Ha nincs önálló dokumentumra, akkor a kérdés az, hogy a házirendet másutt már rögzítették-e — például egy szélesebb körű információbiztonságházirendben vagy az identitás- és hozzáféréskezelési rendszer beállításaiban. Az ISO 27001 Annex A ugyanezzel a logikával működik: nincs külön ellenőrzés a jelszavakra, de az A.5.17 ellenőrzés (hitelesítési információ) a hozzáféréskezelés témájába tartozik. Ha nincs ISO-tanúsítványotok és nincs önálló dokumentumotok sem, akkor az adott pillanatban a "nem" a helyes válasz az önálló jelszóvizsgálatra — esetlegesen azzal a magyarázattal, hogy a többfaktoros hitelesítés viszont beépítésre került, ami gyakran jelentősebben számít, mint maga a jelszóházirendet. Ez utóbbi sok listában külön kérdés, lásd a többfaktoros hitelesítésről szóló kérdést.

Ahol ez következik: a 21. cikk 2. bekezdésének (i) és (j) pontja

A (EU) 2022/2555 irányelv 21. cikke 2. bekezdésének (i) alpontja a "kriptográfia és szükség esetén a titkosítás alkalmazásával kapcsolatos irányelveket és eljárásokat" említi nem a jelszavak helyeként — azok a "hozzáférési házirendet" ((i) pont a tíz intézkedés közös fordításában) és a többfaktoros hitelesítést ((j) pont) képezik. A Kiberbiztonsági törvény ezt az osztályozást veszi át, amelynek 2026. augusztus 15-én lép hatályba. Az ISO/IEC 27001 Annex A szintén a hozzáféréskezelés szélesebb körű témája alá sorolja a jelszókezelést, nem önálló ellenőrzésként.