questionário pergunta como é a nossa política de palavras-passe

A política de senhas enquadra-se na segurança do acesso, não na criptografia

A questão relativa à política de senhas situa-se na segurança do acesso: quem pode aceder a que sistema e como é isso controlado. Os clientes costumam fazer esta pergunta isoladamente, mas no dossiê da cadeia pertence a a política de acesso e a gestão de ativos, não à encriptação. Não confunda: alguns questionários colocam "política de senhas" e "encriptação" acidentalmente na mesma secção, mas são duas medidas diferentes do artigo 21.º, n.º 2 da NIS2 — controlo de acesso (sob h) e criptografia (sob h é mais amplo, encriptação situa-se separadamente sob as medidas organizacionais desse número).

Concretamente, a prova solicitada é normalmente: um comprimento mínimo de senha, uma frequência de alteração ou a sua ausência (a prática mais recente por vezes desaconselha as alterações periódicas), e se é utilizado um gestor de senhas ou um single sign-on. Se não tem uma política de senhas documentada separadamente, mas tem uma política de acesso que a inclui, isso é frequentemente suficiente como prova subjacente — a resposta depende da forma como a pergunta é formulada. Se a política de senhas está completamente ausente e também não há autenticação multifator como medida compensatória, então um "não" com uma breve explicação é mais honesto do que um "sim" que não consegue fundamentar.

Onde consta na directiva e na norma

O artigo 21.º, n.º 2 da Directiva (UE) 2022/2555 menciona a política de controlo de acesso como uma das dez medidas obrigatórias para as entidades abrangidas pela directiva; a gestão de senhas é uma componente padrão. Na ISO/IEC 27001 está desenvolvido no Anexo A, sob as medidas de controlo para segurança do acesso. Para a prática holandesa, a directiva em si é aplicável por enquanto, uma vez que a Lei de Cibersegurança entra em vigor como transposição em 15 de Agosto de 2026. Se tem dúvidas sobre se a sua empresa está sujeita a isto de forma independente, essa é uma questão separada que responde separadamente em se a empresa está ou não sujeita à directiva NIS2.