É utilizada autenticação multifator para acesso aos sistemas da empresa?

A MFA é a décima medida explícita do artigo 21.º, n.º 2

Sim, esta questão aborda um componente literalmente mencionado na lista NIS2: o artigo 21.º, n.º 2, alínea j) menciona "a utilização de soluções de autenticação multifatorial ou autenticação contínua" pelo nome. Isto torna esta questão diferente da maioria das outras numa tal lista — não há espaço de interpretação sobre o que se entende, apenas sobre a questão de saber se foi implementado e onde.

A prática reside na cobertura, não no princípio. Um cliente que pergunta se a MFA é utilizada, pretende geralmente saber: aplica-se isto a todo o acesso aos sistemas empresariais, ou apenas a uma parte? MFA na VPN mas não em aplicações cloud, ou sim em contas de administrador mas não em utilizadores regulares, é uma resposta diferente de um simples sim. Este componente está portanto estreitamente ligado a política de acesso estabelecida e gestão de activos empresariais: sem uma visão geral de quais sistemas existem e quem tem acesso aos mesmos, "é utilizada MFA" não é uma questão de sim ou não, mas uma questão com uma percentagem. Quem conhece a resposta apenas para o seu próprio computador portátil e não para o ambiente de servidores, responde efetivamente sobre um subconjunto.

Onde consta na directiva: artigo 21.º, n.º 2, alínea j)

O artigo 21.º, n.º 2 da Directiva (UE) 2022/2555 enumera dez medidas que as entidades devem tomar como parte da sua gestão de riscos; a alínea j) menciona especificamente autenticação multifatorial ou autenticação contínua, juntamente com comunicação encriptada e comunicação de emergência segura. Esta medida não está isolada: o n.º 1 do mesmo artigo exige que o conjunto seja proporcional ao risco, à dimensão e à probabilidade de incidentes, o que deixa espaço para um lançamento faseado desde que seja estabelecido em termos de política. A questão de saber se a MFA é obrigatória para a própria empresa que preenche o formulário depende de se a empresa se enquadra na directiva como entidade — um fornecedor que não se enquadra na NIS2, recebe esta questão apenas porque o seu cliente se enquadra e a cadeia tem de fazer inquéritos.