il cliente chiede come classifichiamo le informazioni sensibili, qual è la nostra risposta

La classificazione dei dati sensibili rientra nella gestione degli asset e nella politica di accesso

Questa domanda riguarda la misura relativa alle risorse aziendali e all'accesso dell'articolo 21 paragrafo 2 NIS2: conoscere quali informazioni possiedi, quanto sono sensibili e chi può accedervi. Uno schema di classificazione in sé non è un elenco separato nell'articolo 21 — è l'implementazione pratica con cui puoi supportare la tua politica di accesso e la tua politica di crittografia. I clienti solitamente chiedono questo per verificare se fai distinzione tra informazioni pubbliche, interne, riservate e strettamente riservate, e se ci sono regole concrete associate: chi può visualizzare, come viene crittografato, per quanto tempo viene conservato.

Se non hai uno schema di classificazione formale con etichette e regole per livello, la risposta onesta è "no" o "parzialmente" — non compilare che esiste perché informalmente fai comunque distinzione tra sensibile e non sensibile. Se lavori con uno schema ma non è stato implementato ovunque, indicalo anche così; una politica parzialmente attuata è diversa da una politica stabilita. Questo si collega direttamente a la politica di accesso e la gestione dei beni aziendali, perché senza classificazione l'accesso in base alla sensibilità non può essere adeguatamente giustificato. Se lavori con la crittografia di file riservati, questo è la prova per la politica sulla crittografia — collega quella risposta nel tuo dossier.

Dove si trova nella direttiva e nella norma

L'articolo 21 paragrafo 2 NIS2 cita "politica in materia di valutazione del rischio e protezione dei sistemi informativi" e "politica e procedure relative all'uso della crittografia" come due delle dieci misure; la classificazione dei dati è l'anello di congiunzione tra questi, non un punto autonomo. In ISO/IEC 27001 questo è più esplicito: l'Allegato A contiene misure di controllo per la classificazione delle informazioni e l'etichettatura degli asset in base al livello di sensibilità. Se hai una certificazione ISO, questo è immediatamente la prova più forte per questa risposta — controlla se è nel tuo dossier tramite lo stato della certificazione ISO 27001. Il Cybersecurity Act, l'attuazione olandese di NIS2 che entra in vigore il 15 agosto 2026, non cambia questo: le dieci misure rimangono invariate.