vprašalnik sprašuje o našem zakonu gesel, mora biti to zapisano v pisni obliki

Politika gesel spada pod politiko dostopa, ne ločeno

Ja, pisno določena politika gesel je norma, ki jo pričakuje vprašalnik — vendar je samo vprašanje običajno namenjeno širše kot samo gesla. Člen 21 odstavek 2 NIS2 ne omenja ločene "politike gesel" kot samostojnega ukrepa; gesla spadajo pod točko (i), politiko nadzora dostopa, in pod točko (j), uporabo večfaktorske avtentifikacije. Če vprašalnik posebej sprašuje po politiki gesel, se običajno preverja, ali je to del širšega pravilnik o dostopu pisno je določena: kdo dobi katere pravice, kako je geslo strukturirano, kako pogosto se spremeni, kaj se zgodi ob koncu delovnega razmerja.

Če nimaš posebnega dokumenta, je vprašanje, ali je politika že drugje — na primer v širši politiki varnosti informacij ali v nastavitvah sistema za upravljanje identitete in dostopa. ISO 27001 Annex A deluje po isti logiki: ni ločenega nadzora za gesla, vendar nadzor A.5.17 (avtentifikacijske informacije) spada pod temo nadzora dostopa. Če nimaš certifikata ISO in posebnega dokumenta, je "ne" v trenutnem času pravi odgovor na samostojno vprašanje o geslih — morda s pojasnilom, da je večfaktorska avtentifikacija že vzpostavljena, kar je pogosto bolj tehtno kot sama politika gesel. To je ločeno vprašanje v številnih vprašalnikih, glej vprašanje o večfaktorski avtentifikaciji.

Od koder to izhaja: člen 21 odstavek 2 točka (i) in (j)

Člen 21 odstavek 2 Direktive (EU) 2022/2555 omenja pod točko (i) "politiko in postopke v zvezi z uporabo kriptografije in, če je relevantno, šifriranja" ne kot izvor za gesla — ta spada pod "politiko nadzora dostopa" (točka (i) v običajnem prevodu desetih ukrepov) in pod večfaktorsko avtentifikacijo (točka (j)). Zakon o kibernetski varnosti ta razdelitev prevzema, ko ta zakon na 15. avgusta 2026 začne veljati. ISO/IEC 27001 Annex A upravičenje upravljanja gesel prav tako uvršča pod širšo temo nadzora dostopa, ne kot samostojni nadzor.