la liste de questions veut savoir si nous classons les données selon leur sensibilité

La classification des données relève de la politique d'accès et de la gestion des actifs

Oui, c'est une question reconnaissable, et généralement la réponse est que la classification des données selon leur sensibilité existe comme partie d'une politique plus large, et non comme document isolé. En termes NIS2, cela relève des mesures de gestion des actifs et de la politique d'accès : savoir quelles données vous avez, où elles se trouvent et qui peut y accéder. Sans classification, il est en effet difficile de justifier une politique d'accès — vous ne pouvez pas dire qui peut accéder aux « données sensibles » si vous n'avez jamais défini ce que cela signifie. Les questionnaires qui demandent une classification s'attendent généralement à une réponse courte sur les niveaux (par exemple public, interne, confidentiel, strictement confidentiel) et sur qui attribue ces niveaux.

Si vous n'avez pas documenté cela, alors « non » est la réponse honnête, et ce n'est en soi pas un problème pour le questionnaire. Beaucoup de petits fournisseurs fonctionnent de manière informelle : les données sont bien différenciées, mais pas selon un schéma écrit. Répondez plutôt « non » que d'inventer une classification qui n'existe pas. Ce sujet est fortement lié à la politique d'accès et de la gestion des actifs — s'il y a déjà une réponse à cela, il y a de bonnes chances que la classification s'y trouve implicitement et que vous puissiez compléter cette réponse au lieu de la reconstruire de zéro. Il est également pertinent de savoir s'il y a politique de cryptographie et de chiffrement car les niveaux de classification déterminent souvent quelles données sont chiffrées.

Où cela se trouve exactement : article 21 paragraphe 2 et Annexe A

L'article 21, paragraphe 2 de la directive NIS2 mentionne la gestion des actifs et le contrôle d'accès comme deux des dix mesures obligatoires ; la classification des données en est la mise en œuvre pratique. Dans la norme ISO/IEC 27001, Annexe A, figurent des mesures de contrôle explicites pour la classification de l'information et l'étiquetage des actifs — c'est la référence la plus directe si un client demande une référence à une norme. La Loi sur la cybersécurité, qui transpose la directive aux Pays-Bas et entre en vigueur le 15 août 2026, suit la même structure de mesures.