de vill veta hur vår lösenordspolicy ser ut

Lösenordspolicy är en del av åtkomstpolicy, inte av MFA

Frågeformulär presenterar vanligtvis "lösenordspolicy" som en separat rad, men svaret hör hemma innehållsmässigt vid åtkomstpolicyn, inklusive hantering av affärstillgångar. Beskriv minst: minimilängd, komplexitetskrav, obligatorisk ändring vid misstanke om missbruk (inte standardperiodisk — det betraktas numera som föråldrat), och vad som händer efter ett antal misslyckade inloggningsförsök. Ange även om lösenord hanteras centralt via en lösenordshanterare eller identitetsleverantör, eller om användare hanterar detta själva.

Ett vanligt misstag: att beskriva lösenordspolicy separat från multifaktorautentisering för åtkomst till företagssystem, medan kunden ofta vill veta om ett svagt lösenord kompenseras av en andra faktor. Placera därför dessa två svar bredvid varandra i kedjedokumentet, även om frågeställaren ställer två separata frågor — det sparar en förklaring som du annars måste skriva om om och om igen. Om du saknar en fastställd lösenordspolicy men kräver en lösenordshanterare obligatoriskt för alla, beskriv det då faktiskt; "nej" med en kort förklaring är ett mer fullständigt svar än ett "ja" som överdriver praktiken.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Lösenordspolicy är ingen separat punkt i artikel 21 stycke 2 i NIS2-direktivet; det faller under den bredare åtgärden för åtkomstkontroll bland dessa tio åtgärder. I ISO/IEC 27001 Annex A är det mer explicit återfunnet som en kontrolltillämpning inom temat åtkomstskydd. Frågeställare som frågar om "lösenordspolicy" hämtar vanligtvis denna term från Annex A, även om de hänvisar till NIS2-krav — därför hamnar svaret i praktiken på samma plats i dokumentet.