vragenlijst vraagt of wij data classificeren naar gevoeligheid

Classificatie is onderdeel van assetbeheer, geen apart hokje

Ja, hiervoor moet een beleid bestaan, maar het staat zelden op zichzelf. Data-classificatie naar gevoeligheid (publiek, intern, vertrouwelijk, geheim) hoort bij het beheer van bedrijfsmiddelen: je kunt pas passende bescherming toepassen als je weet welke data zwaarder wegen. Vragenlijsten die los vragen naar "classification of information" testen vaak of dat beheer verder gaat dan een lijstje in een Excel-bestand, dus of er ook regels aan hangen: wie mag wat inzien, hoe wordt het gelabeld, wat gebeurt er bij vertrouwelijke bestanden.

Heb je dit niet apart uitgeschreven, dan is "nog te bepalen" reëel totdat je nagaat of het al impliciet in je toegangsbeleid en assetregister staat. Veel ondernemingen classificeren informeel — IT weet welke systemen gevoelige klantdata bevatten — zonder dat er een document "classificatieschema" bestaat. Voor deze vraag is dat vaak niet genoeg: de vraagsteller wil een schema met niveaus en bijbehorende regels zien, niet alleen een intentie.

Terug te voeren op artikel 21 lid 2 en Annex A

In artikel 21 lid 2 van de NIS2-richtlijn staat classificatie niet als losse letter, maar zit het verweven in de maatregelen over assetbeheer en toegangsbeleid onder punt (i) en (d). ISO/IEC 27001 is explicieter: Annex A kent een aparte categorie beheersmaatregelen voor "information classification", met labeling en handling als aparte controls. Werk je al met een ISO 27001-certificaat, dan is dit waarschijnlijk al gedekt en kun je verwijzen naar het certificaat zelf — zie of dat certificaat aanwezig is. Val je onder de Cyberbeveiligingswet zodra die in werking treedt op 15 augustus 2026, dan loopt dezelfde verplichting via de Nederlandse omzetting van artikel 21; check eerst of de onderneming daadwerkelijk als entiteit onder die richtlijn valt, want dat bepaalt of dit een verplichting is of een keuze.