Der Kunde fragt, wie wir sensible Informationen klassifizieren, was ist unsere Antwort

Die Klassifizierung sensibler Daten fällt unter Assetmanagement und Zugriffskontrolle

Diese Frage gehört zur Maßnahme für Vermögenswerte und Zugriff aus Artikel 21 Absatz 2 NIS2: wissen, welche Informationen Sie haben, wie sensibel diese sind, und wer darauf zugreifen darf. Ein Klassifizierungsschema selbst ist keine separate Liste in Artikel 21 — es ist die praktische Umsetzung, mit der Sie Ihre Zugriffskontrolle und Verschlüsselungsstrategie untermauern können. Kunden fragen dies normalerweise, um zu überprüfen, ob Sie zwischen öffentlichen, internen, vertraulichen und streng vertraulichen Informationen unterscheiden und ob es dafür konkrete Regeln gibt: wer darf einsehen, wie wird verschlüsselt, wie lange wird aufbewahrt.

Wenn Sie kein formelles Klassifizierungsschema mit Labels und Regeln pro Stufe haben, dann ist die ehrliche Antwort "nein" oder "teilweise" — nicht angeben, dass es vorhanden ist, nur weil Sie informell tatsächlich zwischen sensiblen und nichtsensiblen Informationen unterscheiden. Wenn Sie mit einem Schema arbeiten, es aber nicht überall umgesetzt ist, geben Sie das auch an; eine teilweise umgesetzte Richtlinie ist etwas anderes als eine verbindliche Richtlinie. Dies hängt direkt zusammen mit der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen, denn ohne Klassifizierung lässt sich Zugriff basierend auf Sensibilität nicht gut begründen. Wenn Sie Verschlüsselung vertraulicher Dateien einsetzen, dann ist das der Nachweis für die Kryptografiestrategie — verknüpfen Sie diese Antwort in Ihrem Dossier damit.

Wo dies in der Richtlinie und der Norm festgehalten ist

Artikel 21 Absatz 2 NIS2 nennt "Richtlinien zur Risikobewertung und Sicherung von Informationssystemen" und "Richtlinien und Verfahren zur Verwendung von Kryptografie" als zwei der zehn Maßnahmen; die Klassifizierung von Daten ist das Verbindungsglied zwischen ihnen, nicht ein eigenständiger Punkt. In ISO/IEC 27001 ist dies deutlicher formuliert: Annex A enthält Sicherheitsmaßnahmen zur Klassifizierung von Informationen und zur Kennzeichnung von Assets nach Sensibilitätsniveau. Wenn Sie ein ISO-Zertifikat haben, ist dies sofort der stärkste Nachweis für diese Antwort — überprüfen Sie über den Status des ISO-27001-Zertifikatsob dies in Ihrem Dossier vorhanden ist. Das Cybersicherheitsgesetz, die niederländische Umsetzung der NIS2, die am 15. August 2026 in Kraft tritt, ändert daran nichts: die zehn Maßnahmen werden unverändert übernommen.