le client demande comment nous classifions les informations sensibles, quelle est notre réponse

La classification des données sensibles relève de la gestion des actifs et de la politique d'accès

Cette question relève de la mesure concernant les actifs informationnels et l'accès prévue à l'article 21, paragraphe 2, de la directive NIS2 : connaître les informations que vous possédez, leur degré de sensibilité et qui y a accès. Un schéma de classification en soi n'est pas un point séparé de l'article 21 — c'est la mise en œuvre pratique qui vous permet de justifier votre politique d'accès et votre politique de chiffrement. Les clients demandent généralement cela pour vérifier que vous faites la distinction entre les informations publiques, internes, confidentielles et strictement confidentielles, et que des règles concrètes en découle : qui a le droit de consulter, comment est chiffré, combien de temps est conservé.

Si vous n'avez pas de schéma de classification formel avec des libellés et des règles par niveau, la réponse honnête est « non » ou « partiellement » — ne pas indiquer qu'il existe un schéma parce que vous faites informellement la distinction entre sensible et non-sensible. Si vous utilisez un schéma mais qu'il n'est pas appliqué partout, indiquez-le aussi de cette façon ; une politique partiellement mise en œuvre est différente d'une politique établie. Cela se rapporte directement à la politique d'accès et de la gestion des actifscar sans classification, l'accès en fonction de la sensibilité ne peut pas être bien justifié. Si vous utilisez le chiffrement des fichiers confidentiels, c'est la preuve pour la politique relative à la cryptographie — associez cette réponse dans votre dossier.

Où cela figure dans la directive et la norme

L'article 21, paragraphe 2, de la directive NIS2 mentionne « une politique de gestion des risques et de sécurité des systèmes informationnels » et « une politique et des procédures concernant l'utilisation de la cryptographie » comme deux des dix mesures ; la classification des données est le lien entre les deux, et non un point autonome. Dans la norme ISO/IEC 27001, cela est énoncé plus explicitement : l'annexe A contient des mesures de contrôle pour la classification de l'information et l'étiquetage des actifs selon leur niveau de sensibilité. Si vous disposez d'un certificat ISO, c'est immédiatement la preuve la plus solide pour cette réponse — vérifiez que cela figure dans votre dossier via le statut du certificat ISO 27001. La loi néerlandaise sur la cybersécurité, la transposition néerlandaise de la directive NIS2 qui entre en vigueur le 15 août 2026, ne change rien à cela : les dix mesures y figurent sans modification.