upitnik želi znati klasificiramo li podatke prema osjetljivosti

Klasifikacija podataka spada pod politiku pristupa i upravljanje sredstvima

Da, ovo je prepoznatljivo pitanje, i obično je odgovor da klasifikacija podataka prema osjetljivosti postoji kao dio šireg rammnog okvira, a ne kao zaseban dokument. U smislu NIS2, ovo spada pod mjere za upravljanje sredstvima i politiku pristupa: znati koje podatke imate, gdje se nalaze i tko im može pristupiti. Bez klasifikacije je politika pristupa naime teško obrazložiti — ne možete reći tko smije pristupiti "osjetljivim podacima" ako niste nikad utvrdili što to obuhvaća. Checkliste koji traže klasifikaciju obično očekuju kratak odgovor o razinama (na primjer javno, interno, povjerljivo, strogo povjerljivo) i o tome tko te razine dodjeljuje.

Ako niste ovo utvrdili, tada je "ne" iskren odgovor, i to je kao takvo nije problem za checklist. Mnogi manji dobavljači rade neformalno: podaci se razlikuju, ali ne prema pisanom shemu. Tada je bolje napisati "ne" nego izmisliti klasifikaciju koja ne postoji. Ova tema vrlo je povezana sa politiku pristupa i upravljanje poslovnom imovinom — ako tu već postoji odgovor, velika je vjerojatnost da je klasifikacija implicitno sadržana i da taj odgovor možete dopuniti umjesto da ga ponovno gradite. Također je relevantno je li politike o kriptografiji i šifriranju jer razine klasifikacije često određuju koji se podaci šifriraju.

Gdje se to točno nalazi: članak 21 stavak 2 i Prilog A

Članak 21 stavak 2 Direktive NIS2 spominje upravljanje sredstvima i kontrolu pristupa kao dvije od deset obveznih mjera; klasifikacija podataka je njihova praktična primjena. U normi ISO/IEC 27001 Prilog A nalaze se eksplicitne kontrolne mjere za klasifikaciju informacija i označavanje sredstava — to je najizravnija referentna točka ako korisnik traži normativan nakit. Zakon o kibernetskoj sigurnosti, koji će direktivu u Hrvatskoj transponirati i stupiti na snagu 15. rujna 2026., slijedi istu podjelu mjera.