Fragebogen fragt nach der Klassifizierung von Daten, was muss ich eingeben

Klassifizierung vertraulicher Daten: keine separate Kategorie in Artikel 21

Dies fällt unter die Maßnahme für Zugangsrichtlinie und Geschäftsmittel gemäß Artikel 21 Absatz 2 NIS2, nicht unter eine separate Anforderung. Die Richtlinie nennt "Asset Management" und Zugangsrichtlinie unter Punkt (d) der zehn Maßnahmen, und die Klassifizierung von Daten ist dort der logische Ausgangspunkt: Sie können den Zugriff auf vertrauliche Daten nicht einschränken, wenn Sie nicht zuvor festgelegt haben, welche Daten vertraulich sind. Fragt der Fragebogen also nach Klassifizierung, dann gehört dies zu derselben Begründung wie der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen.

Konkret möchte der Kunde in der Regel wissen: Haben Sie eine Einteilung (z. B. öffentlich, intern, vertraulich, geheim), ist diese Einteilung in einem Dokument festgehalten, und gibt es Regeln für jede Kategorie — wer darf diese einsehen, wie wird sie gespeichert, darf sie verschlüsselt versendet werden. Haben Sie keine formale Klassifizierung, aber eine Liste mit vertraulichen Systemen und wer darauf Zugriff hat, dann können Sie dies oft als Teilbeweis anführen; die Antwort bleibt dann "ja, mit Erläuterung" statt eines fertigen "ja". Haben Sie nichts dokumentiert, dann ist "nein" die ehrliche Antwort — ein Klassifizierungsschema erfinden, um die Liste auszufüllen, liefert keinen Beweis, wenn der Kunde danach fragt. Achten Sie auch auf Überschneidungen mit Verschlüsselung: Wenn die Klassifizierung zu Regeln über die Verschlüsselung der höchsten Kategorie führt, gehört das zu die Kryptografiestrategie.

Wo dies in der Regelgebung steht

Artikel 21 Absatz 2 Buchstabe (d) und (i) der Richtlinie (EU) 2022/2555 nennen Geschäftsmittelverwaltung und Zugriffskontrollrichtlinie als zwei der zehn erforderlichen Maßnahmen; die Klassifizierung von Daten ist der Anknüpfungspunkt zwischen den beiden. ISO/IEC 27001 arbeitet dies expliziter aus: Anhang A sieht eine separate Kategorie für "information classification" innerhalb der breiteren Gruppe von Kontrollen für Geschäftsmittel vor. Wer bereits ISO 27001-zertifiziert ist, hat also normalerweise ein Klassifizierungsschema als festen Bestandteil des Managementsystems — siehe auch die Frage, ob das Unternehmen ISO 27001-zertifiziert ist. Das deutsche Cybersicherheitsgesetz, die Umsetzung von NIS2 in Deutschland, tritt am 15. August 2026 in Kraft und wiederholt diese zehn Maßnahmen, ohne sie durch einen separaten Klassifizierungsartikel zu ergänzen.