de frågar om våra medarbetare loggar in med en enda inloggning på allt

SSO är en autentiseringsmåtgärd, inte ett separat NIS2-krav

Single sign-on (SSO) står inte som ett eget område i artikel 21 punkt 2 i NIS2-direktivet. Frågan hör hemma under åtkomstpolicy: hur reglerar du vem som får åtkomst till vilket system, och hur kontrollerar du det. SSO är ett verktyg för det, inte ett mål — svaret du fyller i måste därför handla om vad SSO löser i din miljö, inte själva verktyget.

Viktigt att kontrollera innan du fyller i "ja": använder frågeformuläret "SSO" som synonym för centraliserad identitetshantering (en IdP, till exempel Azure AD eller Okta, för de flesta affärsapplikationer), eller frågar det faktiskt efter något annat som råkar formuleras på det här sättet? Många format ställer den här frågan som ett steg före följdfrågan om flerfaktorsautentisering — om du säger "ja" på SSO men inte har MFA aktiverat på IdP:n, är det ur en revisors perspektiv en ofullständig måtgärd. Kontrollera det tillsammans med frågan om multifaktorautentisering innan du bekräftar svaret. Har du bara SSO på en del av systemen — till exempel på SaaS-applikationer, men inte i den lokala legacy-miljön — är ett nyanserat svar med en förklaring mer exakt än ett enkelt "ja".

Åtkomstpolicy och Annex A anger den exakta källan

Motiveringen går via två spår. I NIS2-direktivet faller autentisering under måtgärderna i artikel 21 punkt 2, särskilt punkt (i), om åtkomstkontroll och hantering av företagstillgångar — där är den bredare åtkomstpolicyn anknytningsmöjligheten i ditt kedjedossier. Om du arbetar med ISO/IEC 27001 hittar du SSO återigen som uppfyllande av kontrollmåtgärderna i Annex A kring identitetshantering och autentisering (A.5.15 till och med A.5.18 i 2022-versionen). Har du inget certifikat, är det i sig inget problem för det här svaret — frågan om SSO är oberoende av frågan om du är certifierad. Cybersäkerhetslagen, som implementerar NIS2 i Sverige, lägger inte till något separat SSO-krav här; den hänvisar för genomförandet tillbaka till samma tio måtgärder från artikel 21 punkt 2.