perguntam se os nossos colaboradores fazem login com uma única senha em tudo

O SSO é uma medida de autenticação, não um requisito separado da NIS2

Single sign-on (SSO) não aparece como um item separado no artigo 21.º, n.º 2 da Diretiva NIS2. A pergunta pertence à política de acesso: como regulamentar quem pode aceder a qual sistema e como controlar isso. O SSO é um meio, não um fim — a resposta que preencheres deve, portanto, incidir sobre o que o SSO resolve no teu ambiente, não sobre a ferramenta em si.

É importante verificar antes de preencheres "sim": a lista de verificação utiliza "SSO" como sinónimo de gestão centralizada de identidades (um IdP único, por exemplo Azure AD ou Okta, para a maioria das aplicações empresariais), ou está realmente a perguntar algo diferente que acontece estar formulado dessa forma? Muitos formatos colocam esta pergunta como introdução à pergunta subsequente sobre autenticação multifator — se responderes "sim" ao SSO mas não tiveres autenticação multifator configurada no IdP, isso significa, do ponto de vista de um auditor, uma medida incompleta. Verifica isso em conjunto com a questão sobre autenticação multifator antes de confirmares a resposta. Se tiveres SSO apenas em parte dos sistemas — por exemplo, em aplicações SaaS, mas não no ambiente on-prem legado — uma resposta matizada com uma explicação é mais precisa do que um simples "sim".

A política de acesso e o Anexo A indicam o local exato

O fundamentação funciona através de dois percursos. Na Diretiva NIS2, a autenticação enquadra-se nas medidas do artigo 21.º, n.º 2, nomeadamente no ponto (i), sobre controlo de acesso e gestão de ativos empresariais — aqui se encontra a política de acesso mais ampla o ponto de ligação no teu dossiê de cadeia. Quem trabalha com ISO/IEC 27001 encontra o SSO como implementação das medidas de controlo no Anexo A relativas à gestão de identidades e autenticação (A.5.15 a A.5.18 na versão 2022). Não tendo certificação, isso por si não é um problema para esta resposta — a pergunta sobre SSO é independente da pergunta se estás certificado. A Lei de Cibersegurança, que transpõe a NIS2 nos Países Baixos, não acrescenta neste ponto um requisito separado de SSO; remete para a mesma aplicação das dez medidas do artigo 21.º, n.º 2.