klant vraagt naar ons wachtwoordbeleid wat moet ik antwoorden

Wachtwoordbeleid is onderdeel van toegangsbeheer, niet cryptografie

Wachtwoordbeleid valt onder toegangsbeheer, niet onder cryptografie of authenticatie apart. Vraagt de lijst naar "password policy" of "wachtwoordbeleid", dan wordt meestal gecheckt of er minimale eisen vastliggen: minimumlengte, complexiteit, verplichte wijziging bij verdenking van compromittering, en een verbod op hergebruik van oude wachtwoorden. Voldoende is een beleidsdocument waarin die punten staan, plus een technische instelling die ze afdwingt — niet alleen een richtlijn die medewerkers geacht worden te volgen. Ontbreekt het document maar staat de instelling wel goed in Active Directory of de identity provider, dan is dat vaak al genoeg als bewijsstuk; een screenshot van het beleid in het systeembeheer volstaat dan.

Heb je geen apart wachtwoordbeleid maar wél meerfactorauthenticatie verplicht voor alle bedrijfssystemen, dan is dat antwoord vaak sterker dan een wachtwoordbeleid alleen — veel lijsten vragen dat als los punt, zie of meerfactorauthenticatie verplicht is voor toegang tot bedrijfssystemen. Vul dat in als aanvulling, niet als vervanging: een klant die specifiek naar wachtwoordbeleid vraagt, wil dat punt los beantwoord zien. Heb je niets vastgelegd, dan is "nee" met een toelichting dat MFA verplicht is vaak eerlijker en completer dan een vage "ja" op een vraag die je niet met een document kunt onderbouwen.

Waar dat in de norm en de richtlijn staat

ISO/IEC 27001 Annex A bevat een specifieke beheersmaatregel voor authenticatie-informatie, waaronder wachtwoordbeheer; wie hiervoor gecertificeerd is, kan daarnaar verwijzen als bewijsstuk, zie of de onderneming ISO 27001-gecertificeerd is. NIS2 zelf noemt wachtwoordbeleid niet als apart punt tussen de tien maatregelen van artikel 21 lid 2 — het valt daar onder de bredere categorie toegangscontrole en beveiliging van systemen. Vragenlijsten die naar NIS2 verwijzen, vertalen dat bredere punt vaak zelf naar een concrete wachtwoordvraag; de onderliggende eis is dan het toegangsbeleid als geheel, niet wachtwoorden specifiek.