fragelista frågar hur vår lösenordspolicy ser ut

Lösenordspolicy faller under åtkomstkontroll, inte under kryptering

Frågan om lösenordspolicy hör till åtkomstkontroll: vem får åtkomst till vilka system, och hur kontrolleras det. Kunder frågar vanligtvis om detta som en separat fråga, men i kedjedokumentationen hör det hemma under åtkomstpolicy och hantering av företagstillgångar, inte under kryptering. Blanda inte ihop det: vissa frågeformulär placerar "lösenordspolicy" och "kryptering" av misstag i samma avsnitt, men det är två olika åtgärder från artikel 21 punkt 2 NIS2 — åtkomstkontroll (under h) och kryptering (under h är bredare, kryptering ligger separat under de organisatoriska åtgärderna i denna punkt).

Det konkret efterfrågade beviset är vanligtvis: en minsta längd på lösenord, en byte-frekvens eller dess frånvaro (den nyare praxisen avråder ibland från periodiska byten), och huruvida en lösenordshanterare eller enkel inloggning (single sign-on) används. Om du inte har en separat dokumenterad lösenordspolicy men väl en åtkomstpolicy där detta ingår, är det ofta tillräckligt som underliggande bevis — svaret beror på hur strikt frågan är formulerad. Om lösenordspolicyn saknas helt och heller inte finns flerfaktorsautentisering som kompenserande åtgärd, är "nej" med en kort förklaring hederligare än ett "ja" som du inte kan underbygga.

Var det finns i riktlinjen och normen

Artikel 21 punkt 2 i direktiv (EU) 2022/2555 nämner åtkomstontrollpolicy som en av de tio obligatoriska åtgärderna för enheter som omfattas av direktivet; lösenordshantering är en standarddel av detta. I ISO/IEC 27001 är detta utarbetat i Annex A, under kontrollmåtten för åtkomstsäkerhet. För den nederländska praktiken räknas för närvarande direktivet själv, eftersom cyberlagstiftningen som implementering träder i kraft den 15 augusti 2026. Om du är osäker på om ditt företag självständigt omfattas av detta, är det en separat fråga som du besvarar separat när eller om företaget självt omfattas av NIS2-direktivet.