upitnik pita klasificiramo li podatke prema osjetljivosti

Klasifikacija je dio upravljanja imovinom, nije zasebna stavka

Da, za to mora postojati politika, ali rijetko stoji za sebe. Klasifikacija podataka prema osjetljivosti (javno, interno, povjerljivo, tajno) dio je upravljanja poslovnom imovinom: tek kada znate koju težinu imaju određeni podaci, možete primijeniti odgovarajuću zaštitu. Upitnici koji odvojeno postavljaju pitanje o "klasifikaciji informacija" često testiraju je li to upravljanje šire od Excel-liste, odnosno jesu li na to vezana pravila: tko smije što vidjeti, kako se podatak označava, što se događa s povjerljivim datotekama.

Ako to nisi posebno dokumentirao/a, tada je "još treba odrediti" realno sve dok ne provjeriš je li to već implicitno u vašoj politici pristupa i registru imovine stoji. Mnoga poduzeća klasificiraju informalno — IT zna koji su sustavi osjetljivi na podatke klijenta — bez da postoji dokument "shema klasifikacije". Za ovo pitanje to često nije dovoljno: tražitelj želi vidjeti shemu s razinama i povezanim pravilima, ne samo namjeru.

Može se pratiti do članka 21 stavka 2 i Aneksa A

U članku 21 stavku 2 Direktive NIS2 klasifikacija nije navedena kao odvojena stavka, već je upletkana u mjere upravljanja imovinom i politike pristupa pod točkom (i) i (d). ISO/IEC 27001 je eksplicitniji: Prilog A ima zasebnu kategoriju kontrola za "information classification", s označavanjem i rukovanjem kao odvojenim kontrolama. Ako već radiš s ISO 27001 certifikatom, to je vjerojatno već pokriveno i možeš se pozivati na sam certifikat — vidi je li taj certifikat prisutan. Ako padaš pod Zakon o kibernetskoj sigurnosti čim stupi na snagu 15. kolovoza 2026., ista se obveza provlači kroz hrvatsku implementaciju članka 21; prvo provjeri je li poduzeće zapravo entitet prema toj direktivi, jer to određuje je li to obveza ili izbor.