Fragebogen fragt, ob wir Daten nach Sensibilität klassifizieren

Klassifizierung ist Teil der Vermögensverwaltung, kein separates Fach

Ja, dafür muss es eine Richtlinie geben, aber sie steht selten für sich allein. Datenklassifizierung nach Sensibilität (öffentlich, intern, vertraulich, geheim) gehört zur Verwaltung von Betriebsmitteln: Man kann nur dann angemessenen Schutz anwenden, wenn man weiß, welche Daten schwerer wiegen. Fragebögen, die separat nach "classification of information" fragen, überprüfen oft, ob dieses Verwaltung über eine Liste in einer Excel-Datei hinausgeht, also ob auch Regeln damit verbunden sind: wer darf was einsehen, wie wird es gekennzeichnet, was passiert bei vertraulichen Dateien.

Hast du dies nicht separat niedergeschrieben, dann ist "noch zu bestimmen" realistisch, bis du überprüfst, ob es bereits implizit in deiner Zugangsrichtlinie und Anlage von Betriebsmitteln vorhanden ist. Viele Unternehmen klassifizieren informell — die IT weiß, welche Systeme sensible Kundendaten enthalten — ohne dass ein Dokument "Klassifizierungsschema" existiert. Für diese Frage ist das oft nicht ausreichend: der Fragesteller möchte ein Schema mit Ebenen und zugehörigen Regeln sehen, nicht nur eine Absichtserklärung.

Zurückzuführen auf Artikel 21 Absatz 2 und Anlage A

In Artikel 21 Absatz 2 der NIS2-Richtlinie steht Klassifizierung nicht als separater Buchstabe, aber sie ist in den Maßnahmen zur Vermögensverwaltung und Zugangsrichtlinie unter Punkt (i) und (d) verwoben. ISO/IEC 27001 ist expliziter: Anlage A enthält eine separate Kategorie von Kontrollmaßnahmen für "information classification" mit Kennzeichnung und Umgang als separate Kontrollen. Arbeitest du bereits mit einem ISO 27001-Zertifikat, ist dies wahrscheinlich bereits abgedeckt und du kannst auf das Zertifikat selbst verweisen — siehe ob dieses Zertifikat vorhanden ist. Fällst du unter das Gesetz über Cybersicherheit, sobald es am 15. August 2026 in Kraft tritt, läuft die gleiche Verpflichtung über die niederländische Umsetzung von Artikel 21; überprüfe zunächst, ob das Unternehmen tatsächlich als Einrichtung unter dieser Richtlinie fällt, denn das bestimmt, ob dies eine Verpflichtung oder eine Wahlmöglichkeit ist.