Viene utilizzata l'autenticazione a più fattori per l'accesso ai sistemi aziendali?

L'MFA è la decima misura esplicita dell'articolo 21, paragrafo 2

Sì, questa domanda riguarda una parte letteralmente menzionata nell'elenco NIS2: l'articolo 21, paragrafo 2, lettera j menziona "l'uso di soluzioni per l'autenticazione a più fattori o l'autenticazione continua" per nome. Questo rende questa domanda diversa dalla maggior parte delle altre in tale elenco — non c'è spazio interpretativo su cosa si intenda, solo sulla questione se sia stata implementata e dove.

La pratica risiede nella copertura, non nel principio. Un cliente che chiede se viene utilizzata l'MFA, di solito significa: vale per tutti gli accessi ai sistemi aziendali, o solo per una parte? L'MFA sulla VPN ma non sulle applicazioni cloud, o su account amministrativi ma non su utenti regolari, è una risposta diversa da un semplice sì. Questa misura è quindi strettamente collegata a la politica di accesso documentata e la gestione delle risorse aziendali: senza una panoramica di quali sistemi esistono e chi ha accesso, "viene utilizzata l'MFA" non è una domanda sì o no ma una domanda con una percentuale. Chi conosce la risposta solo per il proprio laptop e non per l'ambiente server, risponde effettivamente su un sottoinsieme.

Dove si trova nella direttiva: articolo 21, paragrafo 2, lettera j

L'articolo 21, paragrafo 2 della Direttiva (UE) 2022/2555 elenca dieci misure che le entità devono adottare come parte della loro gestione del rischio; la lettera j menziona specificamente l'autenticazione a più fattori o l'autenticazione continua, insieme alla comunicazione crittografata e alla comunicazione di emergenza protetta. Questa misura non è isolata: il paragrafo 1 dello stesso articolo richiede che l'insieme sia proporzionato al rischio, alle dimensioni e alla probabilità di incidenti, il che lascia spazio a un'implementazione graduale purché sia documentata dal punto di vista delle politiche. Se l'MFA è obbligatoria per l'impresa che compila il modulo dipende da se l'impresa rientra nella direttiva come entità — un fornitore che non rientra egli stesso in NIS2 riceve questa domanda solo perché lo fa il suo cliente e la catena deve interrogare.