spørgeskemaet ønsker at vide, om vi klassificerer data efter følsomhed

Klassificering af data falder under adgangskontrol og asset management

Ja, dette er et genkendelig spørgsmål, og som regel er svaret, at klassificeringen af data efter følsomhed eksisterer som en del af en bredere politik, ikke som et selvstændigt dokument. I NIS2-termer falder dette under foranstaltninger for asset management og adgangskontrol: at vide, hvilke data du har, hvor de befinder sig, og hvem der må få adgang til dem. Uden klassificering er det nemlig vanskeligt at begrunde adgangskontrol — du kan ikke sige, hvem der må få adgang til "følsomme data", hvis du aldrig har fastslået, hvad det omfatter. Spørgeskemaer, der spørger om klassificering, forventer som regel et kort svar om niveauer (for eksempel offentlig, intern, fortrolig, strengt fortrolig) og om hvem der tildeler disse niveauer.

Hvis du ikke har dokumenteret dette, er "nej" det ærlige svar, og det er i sig selv intet problem for spørgeskemaet. Mange mindre leverandører arbejder uformelt: data skelnes mellem hinanden, men ikke efter et skriftligt skema. Svar hellere "nej" end at finde på en klassificering, som ikke findes. Dette emne hænger stærkt sammen med adgangspolitikken og styringen af virksomhedsressourcer — hvis der allerede ligger et svar dér, er der stor sandsynlighed for, at klassificering er implicit indeholdt i det svar, og at du kan supplere det svar i stedet for at opbygge det forfra. Også relevant er, om der politik om kryptering og kryptering er, fordi klassificeringsniveauer ofte bestemmer, hvilke data der skal krypteres.

Hvor dette præcis står: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2 i NIS2-direktivet nævner asset management og adgangskontrol som to af ti obligatoriske foranstaltninger; klassificering af data er den praktiske gennemførelse heraf. I ISO/IEC 27001 Bilag A findes eksplicitte kontrolforanstaltninger for klassificering af information og for mærkning af aktiver — det er det mest direkte referencested, hvis en kunde spørger efter en normreference. Den nederlandske cybersikkerhedslov, som gennemfører direktivet og træder i kraft den 15. august 2026, følger samme strukturering af foranstaltninger.