(3) Nástroj pro ověřování identity uživatelů, který používá autentizaci pouze heslem, zajišťuje

a) minimální délku hesla osm znaků,

b) minimální složitost hesla tak, že heslo bude obsahovat alespoň 3 z následujících čtyř požadavků

1. nejméně jedno velké písmeno,

2. nejméně jedno malé písmeno,

3. nejméně jednu číslici, nebo

4. nejméně jeden speciální znak odlišný od požadavků uvedených v bodech 1 až 3,

c) maximální dobu pro povinnou výměnu hesla nepřesahující sto dnů; tento požadavek není vyžadován pro samostatné identifikátory aplikací.