il questionario chiede se classifichiamo i dati in base alla sensibilità

La classificazione fa parte della gestione degli asset, non è una categoria separata

Sì, per questo deve esistere una politica, ma raramente esiste autonomamente. La classificazione dei dati in base alla sensibilità (pubblico, interno, riservato, segreto) fa parte della gestione dei beni aziendali: puoi applicare una protezione adeguata solo se sai quali dati hanno un peso maggiore. I questionari che chiedono separatamente la "classification of information" spesso verificano se la gestione va oltre un elenco in un file Excel, cioè se ci sono anche regole associate: chi può vedere cosa, come viene etichettato, cosa succede con i file riservati.

Se non lo hai descritto separatamente, allora "da determinare" è realistico finché non verifichi se è già implicito nella tua politica di accesso e registro degli asset esiste. Molte aziende classificano informalmente — l'IT sa quali sistemi contengono dati sensibili dei clienti — senza che esista un documento "schema di classificazione". Per questa domanda spesso non basta: chi pone la domanda vuole vedere uno schema con livelli e relative regole, non solo un'intenzione.

Tracciabile all'articolo 21 paragrafo 2 e Allegato A

Nell'articolo 21 paragrafo 2 della direttiva NIS2, la classificazione non compare come lettera separata, ma è integrata nelle misure sulla gestione degli asset e sulla politica di accesso ai sensi dei punti (i) e (d). ISO/IEC 27001 è più esplicita: l'Allegato A ha una categoria separata di misure di controllo per la "information classification", con etichettatura e gestione come controlli separati. Se lavori già con una certificazione ISO 27001, probabilmente è già coperto e puoi fare riferimento al certificato stesso — vedi se il certificato è presente. Se ricadi sotto la Legge sulla cibersicurezza non appena entrerà in vigore il 15 agosto 2026, lo stesso obbligo passa attraverso il recepimento olandese dell'articolo 21; verifica prima se l'azienda effettivamente ricade come entità secondo la direttiva, poiché questo determina se è un obbligo o una scelta.