kunden spørger, hvordan vi klassificerer følsomme oplysninger, hvad er vores svar

Klassificering af følsomme data falder under aktivadministration og adgangskontrol

Dette spørgsmål hører til foranstaltningen vedrørende virksomhedsressourcer og adgang i artikel 21, stk. 2 NIS2: at vide, hvilke oplysninger du har, hvor følsomme de er, og hvem der må have adgang. Et klassificeringsskema i sig selv er ikke et separat afsnit i artikel 21 — det er den praktiske gennemførelse, som du kan bruge til at underbygge din adgangskontrol og krypteringspolitik. Kunder spørger typisk om dette for at kontrollere, om du skelner mellem offentlige, interne, fortrolige og strengt fortrolige oplysninger, og om der er konkrete regler knyttet til disse: hvem må se dem, hvordan krypteres de, hvor længe opbevares de.

Hvis du ikke har et formelt klassificeringsskema med mærkater og regler for hvert niveau, er det ærlige svar "nej" eller "delvis" — ikke udfyldt, at det eksisterer, blot fordi du uformelt skelner mellem følsom og ikke-følsom information. Hvis du arbejder med et skema, men det ikke er gennemført overalt, skal du også angive det på den måde; en delvist implementeret politik er noget helt tredje end en vedtaget politik. Dette knytter direkte an til adgangspolitikken og styringen af virksomhedsressourcer, for uden klassificering kan adgang på grundlag af følsomhed ikke underbygges ordentligt. Hvis du arbejder med kryptering af fortrolige filer, er det bevisstykket for krypteringspolitikken — link det svar til i dit dossier.

Hvor det står i direktivet og normen

Artikel 21, stk. 2 NIS2 nævner "politik for risikovurdering og sikring af informationssystemer" og "politik og procedurer vedrørende brug af kryptering" som to af de ti foranstaltninger; klassificering af data er forbindelsen mellem dem, ikke et selvstændigt punkt. I ISO/IEC 27001 er dette mere eksplicit: Bilag A indeholder kontrolforanstaltninger for klassificering af oplysninger og mærkning af aktiver efter følsomhedsniveau. Hvis du har et ISO-certifikat, er det straks det stærkeste bevisstykke for dette svar — kontrollér, om det er i dit dossier via status for ISO 27001-certifikatet. Cybersikkerhedsloven, den danske gennemførelse af NIS2, som træder i kraft den 15. august 2026, ændrer ikke ved dette: de ti foranstaltninger kommer tilbage uændret.