que dois-je remplir à la question sur la classification des données

La classification des données relève de la politique d'accès, non de la cryptographie

La classification des données figure généralement dans le questionnaire sous le bloc plus large de politique d'accès et de gestion des actifs de l'entreprise — non sous le bloc chiffrement, où certains répondants la placent par erreur. La question teste si vous classez vos données selon leur sensibilité (par exemple public, interne, confidentiel, secret) et si cette classification entraîne réellement des droits d'accès et des règles de traitement différents. Un label sans conséquences ne compte pas comme classification.

Si vous n'avez pas de schéma de classification, alors « non » est la réponse honnête — pas « n/a ». Certains clients acceptent comme étape intermédiaire une classification informelle, pour autant que vous puissiez montrer quels systèmes contiennent quelles données et qui y a accès. Cela rejoint directement la question la politique d'accès est-elle documentée, y compris la gestion des actifs de l'entreprise: sans un inventaire actuel des actifs de l'entreprise (asset inventory), la classification est de toute façon difficile à justifier. Si vous avez un schéma mais pas de document justificatif, téléchargez le document de politique ou l'inventaire de classification lui-même ; un accord verbal ne suffit pas comme preuve.

D'où cela vient : Annexe A et article 21 alinéa 2

ISO/IEC 27001 Annexe A mentionne la classification des informations comme mesure de contrôle, liée à l'exigence plus large de gestion des actifs de l'entreprise (asset management). NIS2, article 21 alinéa 2, ne mentionne pas la classification des données comme terme distinct, mais les dix mesures de cet alinéa englobent la politique d'accès et la sécurité des systèmes d'information dans leur ensemble — la classification est l'instrument permettant de déterminer le niveau de protection requis à chaque endroit. Si vous êtes vous-même une entité relevant de la Loi sur la cybersécurité, c'est l'un des éléments qu'une autorité de surveillance peut demander concrètement ; vérifiez cela via l'entreprise elle-même est-elle soumise à la directive NIS2 ou à sa transposition nationale. Si vous disposez d'un certificat ISO 27001, la classification figure généralement déjà dans le domaine d'application de votre système de gestion de la sécurité de l'information et vous pouvez vous y référer directement.