Sim, é normal. O usuário root pode fazer qualquer coisa (incluindo, digamos, alterar a senha de um usuário, fazer login como e alterar de volta), para que não sejam restringidos por su (ou sudo ). Isso inclui prompts de senha e outras restrições.
A configuração PAM pode ser configurada para ter su presentes solicita ainda ao usuário root, por exemplo, chaves de criptografia, mas não é o padrão, não é confiável e pode ser desativado. O usuário root pode facilmente mudar para outro usuário por outros meios, como criar um executável setuid de propriedade do usuário ou apenas chamando a função setuid em um de seus programas.