dotazník se ptá, zda klasifikujeme data podle citlivosti

Klasifikace je součástí správy aktiv, nikoli oddělená položka

Ano, pro to musí existovat politika, ale zřídka existuje samostatně. Klasifikace dat podle citlivosti (veřejné, interní, důvěrné, tajné) patří ke správě firemního majetku: teprve když víte, která data mají větší váhu, můžete uplalit vhodnou ochranu. Dotazníky, které se samostatně ptají na "classification of information", často testují, zda tato správa jde dále než seznam v souboru Excel, tedy zda k ní existují také pravidla: kdo smí vidět co, jak je to označeno, co se stane s důvěrnými soubory.

Pokud jste to nevypracovali zvlášť, pak je "ještě určit" reálné, dokud nezkontrolujete, zda to již implicitně v zásadách přístupu a registru aktiv existuje. Mnoho podniků klasifikuje neformálně — IT ví, které systémy obsahují citlivá zákaznická data — bez toho, aby existoval dokument "klasifikační schéma". Pro tuto otázku to často nestačí: ten, kdo se ptá, chce vidět schéma s úrovněmi a příslušnými pravidly, nikoli jen úmysl.

Lze vysledovat na článek 21 odst. 2 a přílohu A

V článku 21 odst. 2 směrnice NIS2 není klasifikace uvedena jako samostatný bod, ale je zapletena do opatření týkajících se správy aktiv a zásad přístupu v bodech (i) a (d). ISO/IEC 27001 je jasnější: Příloha A obsahuje samostatnou kategorii kontrolních opatření pro "information classification", s označením a zacházením jako s oddělennými kontrolami. Pokud již pracujete s certifikátem ISO 27001, je to pravděpodobně již pokryto a můžete odkazovat na samotný certifikát — viz zda je certifikát přítomen. Pokud podléháte Zákonu o kybernetické bezpečnosti, jakmile vstoupí v platnost 15. srpna 2026, stejná povinnost probíhá prostřednictvím nizozemské transpozice článku 21; nejprve zkontrolujte, zda podnik skutečně spadá jako subjekt pod tuto směrnici, neboť to určuje, zda je to povinnost nebo volba.