- Znaczenie
- Uwierzytelnianie wieloskładnikowe
- Zasada
- Kilka niezależnych składników: wiedza + posiadanie (+ biometria)
- Korzyść
- Ochrona nawet przy skradzionym haśle
- Związek z NIS2
- Zalecane wprost
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest MFA?
MFA (uwierzytelnianie wieloskładnikowe) wymaga przy logowaniu co najmniej dwóch niezależnych dowodów z różnych kategorii – zwykle czegoś, co użytkownik zna (hasło albo PIN), oraz czegoś, co posiada (kod jednorazowy z aplikacji uwierzytelniającej albo token sprzętowy w standardzie FIDO2). Niektóre rozwiązania dokładają trzeci składnik – coś, czym użytkownik jest – czyli biometrię: odcisk palca albo rozpoznawanie twarzy. Decydujące jest to, by składniki były naprawdę od siebie niezależne: jeżeli dwa kody idą tym samym, przejętym kanałem, ochrona jest tylko pozorna.
Dlaczego MFA działa tak dobrze
Większość udanych ataków zaczyna się od skradzionych danych logowania – z phishingu, wycieków danych albo używania tego samego hasła w wielu miejscach. Przy włączonym MFA samo zdobyte hasło nie wystarcza do zalogowania, bo brakuje drugiego składnika. MFA należy więc do najskuteczniejszych, a zarazem najtańszych rozwiązań technicznych, jakimi są zabezpieczenia, które organizacja może u siebie wdrożyć. Nie zastępuje silnych haseł, ale wyłapuje dokładnie te sytuacje, w których hasło mimo wszystko trafia w niepowołane ręce.
Gdzie MFA jest szczególnie ważne
W pierwszej kolejności zabezpiecz dostępy zdalne (VPN, poczta webowa, pulpit zdalny), konta administracyjne i uprzywilejowane oraz krytyczne dla działalności usługi chmurowe. To właśnie dostępy administracyjne są chętnym celem ataku, bo skupiają szerokie uprawnienia, i powinny być chronione MFA bez wyjątku. Przy wyborze rozwiązania obowiązuje zasada: tokeny sprzętowe i metody oparte na aplikacji są wyraźnie bezpieczniejsze niż kody SMS, które da się przechwycić albo przekierować metodą SIM swappingu.
MFA a NIS2
NIS2 wymienia uwierzytelnianie wieloskładnikowe wśród środków zarządzania ryzykiem z art. 21 wprost jako techniczny środek do rozważenia. Dla objętych podmiotów jest to więc faktycznie stan techniki. Dobrze łączy się z dwoma innymi filarami: pierwszym jest cyberhigiena – drugim regularne szkolenia budujące świadomość bezpieczeństwa, a razem wyraźnie obniżają ryzyko ataku.
Na przykład: Średniej wielkości firma maszynowa odkrywa, że pracownik wpisał swoje hasło do Microsoft 365 na podrobionej stronie logowania. Ponieważ na wszystkich kontach działa MFA z aplikacją uwierzytelniającą, próba logowania napastników rozbija się o brak drugiego składnika – i z czegoś, co mogło być zdarzeniem takim jak poważny incydent podlegający zgłoszeniu, zostaje nieszkodliwa, udokumentowana wewnętrznie próba phishingu.
Źródło uzupełniające: ENISA – agencja UE ds. cyberbezpieczeństwa
Najczęstsze pytania
Czym jest MFA?
MFA to skrót od uwierzytelniania wieloskładnikowego. Przy logowaniu wymaga co najmniej dwóch niezależnych składników z różnych kategorii: czegoś, co użytkownik zna (hasło albo PIN), czegoś, co posiada (kod z aplikacji albo token sprzętowy w standardzie FIDO2), i opcjonalnie czegoś, czym jest (biometria, na przykład odcisk palca). Decydujące jest to, by składniki były naprawdę od siebie niezależne i nie biegły tym samym, przejętym kanałem.
Dlaczego MFA jest tak ważne?
MFA jest ważne dlatego, że samo skradzione hasło nie wystarcza już do zalogowania: bez drugiego składnika próba logowania kończy się niepowodzeniem. Uwierzytelnianie wieloskładnikowe blokuje w ten sposób większość typowych ataków, takich jak phishing i credential stuffing, w których włamanie zaczyna się od zdobytych danych logowania. To jeden z najskuteczniejszych, a zarazem najtańszych technicznych środków ochrony – nie zastępuje jednak silnych haseł.
Czy NIS2 nakazuje stosowanie MFA?
NIS2 wymienia uwierzytelnianie wieloskładnikowe wśród środków zarządzania ryzykiem z art. 21 wprost jako techniczny środek do rozważenia, zwłaszcza przy dostępach zdalnych i kontach administracyjnych. Wobec obowiązków wynikających z ustawy o KSC, obowiązującej od 3 kwietnia 2026 r., MFA należy więc faktycznie do stanu techniki. Podmiot kluczowy lub ważny, który go nie wdroży, ryzykuje kary do 10 mln EUR lub 2 % rocznego obrotu światowego.