zákazník se ptá, jak klasifikujeme citlivé informace, jaká je naše odpověď

Klasifikace citlivých dat spadá pod správu majetku a zásady přístupu

Tato otázka se týká opatření pro obchodní prostředky a přístup stanoveného v článku 21 odst. 2 NIS2: vědět, jaké informace máte, jak jsou citlivé, a kdo k nim smí mít přístup. Klasifikační schéma samo o sobě není samostatný seznam v článku 21 — jedná se o praktické uplatnění, kterým můžete podpořit zásady přístupu a zásady kryptografie. Zákazníci to obvykle požadují, aby prověřili, zda rozlišujete mezi veřejnými, interními, důvěrnými a přísně důvěrnými informacemi, a zda s nimi souvisí konkrétní pravidla: kdo může čtení, jak se šifruje, jak dlouho se uchovává.

Nemáte-li formální klasifikační schéma se štítky a pravidly na úroveň, je čestnou odpovědí "ne" nebo "částečně" — nevyplňujte, že existuje, jen proto, že neformálně rozlišujete mezi citlivými a necitlivými daty. Pracujete-li se schématem, ale není zavedeno všude, uveďte to také jasně; částečně zavedená politika je něco jiného než ustálená politika. To přímo navazuje na zásad přístupu a správy podnikových prostředků, protože bez klasifikace nelze přístup na základě citlivosti dobře odůvodnit. Pracuješ-li se šifrováním důvěrných souborů, je to důkazem pro politika týkající se kryptografie — propojte tuto odpověď v dossier.

Kde se to v směrnici a normě nachází

Článek 21 odstavec 2 NIS2 uvádí "politiku posuzování rizik a zabezpečení informačních systémů" a "politiku a postupy týkající se používání kryptografie" jako dvě z deseti opatření; klasifikace dat je vazbou mezi nimi, nikoli samostatným bodem. V ISO/IEC 27001 je to explicitněji uvedeno: Příloha A obsahuje kontrolní opatření pro klasifikaci informací a označování aktiv podle úrovně citlivosti. Máte-li certifikát ISO, je to ihned nejsilnějším důkazem pro tuto odpověď — ověřte si prostřednictvím dossier, zda se tam nachází stav certifikátu ISO 27001. Zákon o kybernetické bezpečnosti, nizozemský přepis NIS2, který vstupuje v platnost 15. srpna 2026, to nemění: desítka opatření se opakuje beze změny.