Czy do dostępu do systemów przedsiębiorstwa stosowana jest uwierzytelnianie wieloskładnikowe?

MFA jest wyraźnym dziesiątym środkiem artykułu 21 ust. 2

Tak, to pytanie dotyczy dosłownie wskazanego elementu listy NIS2: artykuł 21 ust. 2 lit. j wymienia z nazwy "stosowanie rozwiązań do uwierzytelniania wieloskładnikowego lub uwierzytelniania ciągłego". To sprawia, że to pytanie różni się od większości pozostałych na takiej liście — nie ma miejsca na interpretację co do tego, o co chodzi, a jedynie co do kwestii, czy zostało wdrożone i gdzie.

Praktyka znajduje się w pokryciu, a nie w zasadzie. Klient, który pyta, czy jest używana MFA, zwykle chodzi o to: czy dotyczy to całego dostępu do systemów biznesowych, czy tylko jego części? MFA na VPN, ale nie na aplikacjach w chmurze, lub na kontach administratorów, ale nie na zwykłych użytkownikach, to inny odpowiedź niż zwykłe tak. Ta część jest więc ściśle związana z ustanowionym polityką dostępu i zarządzaniem zasobami biznesowymi: bez przeglądu, które systemy istnieją i kto ma do nich dostęp, "czy jest używana MFA" nie jest pytaniem tak-lub-nie, ale pytaniem zawierającym procent. Osoba, która zna odpowiedź tylko dla własnego laptopa, a nie dla środowiska serwera, de facto odpowiada na podzbiór.

Gdzie to jest wymienione w dyrektywie: artykuł 21 ust. 2 lit. j

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia dziesięć środków, które jednostki muszą wdrożyć w ramach zarządzania ryzykiem; lit. j wymienia w szczególności uwierzytelnianie wieloczynnikowe lub uwierzytelnianie ciągłe, oprócz szyfrowania komunikacji i bezpiecznej komunikacji awaryjnej. Środek ten nie istnieje oddzielnie: ust. 1 tego samego artykułu wymaga, aby całość była proporcjonalna do ryzyka, rozmiaru i prawdopodobieństwa incydentów, co pozostawia miejsce na etapowe wdrażanie, pod warunkiem że jest to udokumentowane w polityce. Czy uwierzytelnianie wieloczynnikowe jest obowiązkowe dla samej przedsiębiorstwa wypełniającej, zależy od czy przedsiębiorstwo podlega dyrektywie jako jednostka — dostawca, który sam nie podlega NIS2, otrzymuje to pytanie tylko dlatego, że podlega mu jego klient i łańcuch musi być objęty ankietą.