Používa sa viacfaktorová autentifikácia na prístup k podnikovým systémom?

MFA je explicitným desiatym opatrením článku 21 ods. 2

Áno, táto otázka sa týka doslova uvedenej súčasti zoznamu NIS2: článok 21 ods. 2 písm. j špecificky menuje "použitie riešení viacfaktorového overenia totožnosti alebo nepretržitého overenia totožnosti". To robí túto otázku odlišnou od väčšiny ostatných na takomto zozname — neexistuje interpretačný priestor na to, čo sa myslí, iba otázka, či je to implementované a kde.

Prax spočíva v pokrytí, nie v princípe. Zákazník, ktorý sa pýta, či sa MFA používa, zvyčajne myslí: vzťahuje sa to na všetok prístup do podnikových systémov, alebo iba na časť z nich? MFA na VPN, ale nie na cloudové aplikácie, alebo na účty správcov, ale nie na bežných používateľov, je iná odpoveď ako jednoznačné áno. Táto súčasť je preto úzko prepojená s zdokumentovanou politikou prístupu a správou podnikových aktív: bez prehľadu o tom, ktoré systémy existujú a kto má k ním prístup, nie je "či sa MFA používa" otázka s áno alebo nie, ale otázka, ktorá obsahuje percento. Ten, kto pozná odpoveď iba pre svoj notebook a nie pre serverové prostredie, fakticky odpovedá na podmnožinu.

Kde sa to nachádza v smernici: článok 21 ods. 2 písm. j

Článok 21 ods. 2 Smernice (EÚ) 2022/2555 uvádza desať opatrení, ktoré musia subjekty prijať ako súčasť svojho riadenia rizík; písm. j špecificky menuje viacfaktorové overenie totožnosti alebo nepretržité overenie totožnosti, popri šifrovanej komunikácii a zabezpečenej núdzovej komunikácii. Toto opatrenie nestojí izolovane: odsek 1 rovnakého článku vyžaduje, aby celok bol úmerný riziku, rozsahu a pravdepodobnosti incidentov, čo umožňuje postupný rollout, pokiaľ je to politicky zdokumentované. To, či je MFA pre vyplňujúcu podnik povinná, závisí od či podnik podľa smernice spadá ako subjekt — dodávateľ, ktorý sám pod NIS2 nespadá, dostáva túto otázku iba preto, že jeho zákazník spadá, a reťazec sa musí pýtať.