il questionario chiede informazioni sulla nostra politica delle password, deve essere documentata per iscritto

La politica delle password rientra nella politica di controllo degli accessi, non separatamente

Sì, una politica delle password formalmente documentata è lo standard che il questionario si aspetta — ma la domanda stessa di solito ha un significato più ampio dei soli password. L'articolo 21 paragrafo 2 della direttiva NIS2 non cita una "politica delle password" separata come misura autonoma; le password rientrano nel punto (i), politica di controllo degli accessi, e nel punto (j), l'uso dell'autenticazione a più fattori. Se il questionario chiede specificamente la politica delle password, di solito si verifica se questa rientra in una politica più ampia politica di accesso, documentato per iscritto: chi riceve quali diritti, come è strutturata una password, con quale frequenza viene modificata, cosa accade al termine del rapporto di lavoro.

Se non disponi di un documento separato, la domanda è se la politica esiste già altrove — ad esempio in una politica di sicurezza delle informazioni più ampia o nelle impostazioni del tuo sistema di gestione dell'identità e degli accessi. La norma ISO 27001 Annex A segue la stessa logica: non esiste un controllo separato per le password, ma il controllo A.5.17 (informazioni di autenticazione) rientra nel tema del controllo degli accessi. Se non disponi di una certificazione ISO e di un documento separato, allora "no" è la risposta corretta a questo momento sulla domanda relativa alle password — eventualmente con una nota che l'autenticazione a più fattori è effettivamente implementata, il che spesso conta più della politica delle password stessa. Quest'ultima è una domanda separata in molti questionari, vedi la domanda sull'autenticazione a più fattori.

Da cui deriva: articolo 21 paragrafo 2 sub i e j

L'articolo 21 paragrafo 2 della direttiva (UE) 2022/2555 cita sotto sub (i) "politiche e procedure relative all'uso della crittografia e, ove pertinente, della cifratura" non come fonte per le password — questi rientrano nella "politica di controllo degli accessi" (sub i nella traduzione comune delle dieci misure) e nell'autenticazione multifattore (sub j). La Cybersecurity Act incorpora questa struttura una volta entrata in vigore il 15 agosto 2026. La norma ISO/IEC 27001 Annex A colloca la gestione delle password sotto il tema più ampio del controllo degli accessi, non come controllo autonomo.