Dotazník se ptá na klasifikaci dat, co mám vyplnit

Klasifikace citlivých dat: samostatný oddíl v článku 21 neexistuje

Spadá to pod opatření pro zásady přístupu a firemní prostředky z článku 21 odst. 2 NIS2, nikoli pod samostatný požadavek. Směrnice pod bodem (d) deseti opatření uvádí "správu aktiv" a zásady přístupu, a klasifikace dat je logickým výchozím bodem: nemůžete omezit přístup k citlivým datům, pokud jste nejdříve neurčili, která data jsou citlivá. Pokud se tedy dotazník ptá na klasifikaci, měla by být součástí stejného odůvodnění jako zásad přístupu a správy podnikových prostředků.

Konkrétně chce zákazník obvykle vědět: máte rozdělení (například veřejné, interní, důvěrné, tajné), je toto rozdělení zaznamenáno v dokumentu a jsou ke každé úrovni připojená pravidla — kdo to může vidět, jak se to ukládá, lze to poslat šifrováno. Pokud nemáte formální klasifikaci, ale máte seznam citlivých systémů a seznam toho, kdo k nim má přístup, můžete to často předložit jako částečný důkaz; odpověď zůstane "ano, s vysvětlením" místo hotového "ano". Pokud jste nic nezaznamenali, pak je "ne" upřímná odpověď — vymýšlení klasifikačního schématu za účelem vyplnění seznamu neposkytuje důkazní dokument, který by zákazník později mohl požadovat. Věnujte pozornost také překrývání se šifrováním: pokud klasifikace vede k pravidlům pro šifrování nejvyšší kategorie, mělo by to být součástí politika týkající se kryptografie.

Kde se to nachází v právních předpisech

Článek 21 odstavec 2 písm. (d) a (i) Směrnice (EU) 2022/2555 jmenují správu prostředků a zásady řízení přístupu jako dva z deseti povinných opatření; klasifikace údajů je spojovacím prvkem mezi těmito dvěma. ISO/IEC 27001 to vypracovává explicitněji: Příloha A obsahuje samostatnou kategorii pro „information classification podnik je certifikován podle normy ISO 27001 v rámci širší skupiny kontrolních opatření pro prostředky. Kdo je již certifikován podle ISO 27001, má tedy obvykle schéma klasifikace jako pevnou součást systému řízení — viz také otázka, zda." Kybernetický bezpečnostní zákon, nizozemská transpozice NIS2, vstoupí v platnost 15. srpna 2026 a opakuje těchto deset opatření bez jejich doplnění samostatným článkem o klasifikaci.