Как отговарям на въпроса относно минимизирането на данни при лични данни

Минимизирането на данни зависи от политиката за достъп, не от криптирането

Минимизирането на данни само по себе си не фигурира като самостоятелна мярка в член 21 параграф 2 на NIS2 — тези десет мерки се отнасят до управление на риска, справяне с инциденти, непрекъснатост на дейност и контрол на достъпа, а не до принципите на GDPR за събиране на данни. Въпреки това въпросът често се появява в същия въпросник, тъй като клиентите комбинират своите оценки на NIS2 и приватност. Доказателството, което е подходящо тук, не е регистър за обработка на данни според GDPR, а политиката за достъп: кой може да има достъп до какви данни и дали това е ограничено до необходимото за функцията. Това е в съответствие с политиката за достъп включително управление на активите — ако в нея са включени достъп на базата на роли и принципът "need to know", това често е достатъчна обосновка за "да".

Ако нямаш отделна политика за минимизиране на данни според GDPR, но имаш сертификат по ISO 27001, то Приложение A е по-силен аргумент, отколкото си мислиш: мерките за контрол на достъпа и класификацията на информацията покриват минимизирането на данни неявно, без да е нужно сам да споменеш думата. В този случай се позови на сертификатът ISO 27001 и оставай системата да свърже отговора с това. Ако нямаш нито едното, нито другото, тогава не отговаряй автоматично "да" — попълни това, което е фактически верно, дори и ако е "не, всё още в разработка".

Откъде идва това: член 21, параграф 2 и Приложение А

Член 21 параграф 2 на NIS2 споменава политика за контрол на достъпа и управление на активите като две от десетте задължителни мерки, без да използва термина минимизиране на данни; ISO/IEC 27001 Приложение A го развива по-нататък чрез мерките за контрол относно ограничаване на достъпа и класификация на информацията, а Законът за кибербезопасност приема текста на NIS2 дословно, когато влезе в сила на 15 август 2026.