Zoznam otázok pýta, ako vyzerá naša politika hesiel

Politika hesiel patrí pod kontrolu prístupu, nie pod kryptografiu

Otázka o politike hesiel patrí pod kontrolu prístupu: kto má prístup ku ktorému systému a ako sa to kontroluje. Zákazníci to väčšinou pýtajú ako samostatnú otázku, ale v reťazovom spise to patrí pod politike prístupu a správe podnikových aktív, nie pod šifrovanie. Nezamieňajte to: niektoré zoznamy otázok dávajú "politiku hesiel" a "šifrovanie" omylom do rovnakej sekcie, ale ide o dve rôzne opatrenia z článku 21 ods. 2 NIS2 — kontrolu prístupu (pod h) a kryptografiu (pod h je širšie, šifrovanie je samostatne pod organizačnými opatreniami tohto odstavca).

Konkrétne požadované dôkazy sú zvyčajne: minimálna dĺžka hesla, frekvencia výmeny alebo práve jej absencia (novšia prax niekedy periodickú výmenu odporúča), a či sa používa správca hesiel alebo jednotné prihlasovanie. Ak nemáte samostatne zdokumentovanú politiku hesiel, ale máte politiku prístupu, v ktorej je to zahrnuté, to je často dostatočný podkladový dôkaz — odpoveď závisí od toho, ako prísne je otázka formulovaná. Ak politika hesiel chýba úplne a tiež nie je viacfaktorové overovanie ako vyrovnávajúce opatrenie, potom je "nie" s krátkym vysvetlením poctivejšie ako "áno", ktoré nemôžete podložiť.

Kde je to uvedené v smernici a norme

Článok 21 ods. 2 Smernice (EÚ) 2022/2555 určuje politiku kontroly prístupu ako jedno z desiatich povinných opatrení pre subjekty, ktoré pod smernicu spadajú; správa hesiel je jej štandardnou súčasťou. V norme ISO/IEC 27001 je to rozpracované v prílohe A pod opatreniami na kontrolu prístupu. V holandskej praxi zatiaľ počítame so samotnou smernicou, pretože Zákon o kyberbezpečnosti ako jej transpozícia nadobúda účinnosť 15. augusta 2026. Ak si nie ste istí, či vaša spoločnosť sem nezávisle patrí, ide o samostatnú otázku, ktorú odpovedáte osobitne na alebo či podnik sám spadá pod smernicu NIS2.