klant vraagt hoe wij gevoelige informatie classificeren, wat is ons antwoord

Classificatie van gevoelige data valt onder assetmanagement en toegangsbeleid

Deze vraag hoort bij de maatregel voor bedrijfsmiddelen en toegang uit artikel 21 lid 2 NIS2: weten welke informatie je hebt, hoe gevoelig die is, en wie erbij mag. Een classificatieschema zelf is geen apart lijstje in artikel 21 — het is de praktische invulling waarmee je toegangsbeleid en cryptografiebeleid kunt onderbouwen. Klanten vragen dit meestal om te toetsen of je onderscheid maakt tussen publieke, interne, vertrouwelijke en strikt vertrouwelijke informatie, en of daar concrete regels aan hangen: wie mag inzien, hoe wordt versleuteld, hoe lang wordt bewaard.

Heb je geen formeel classificatieschema met labels en regels per niveau, dan is het eerlijke antwoord "nee" of "deels" — niet invullen dat het er is omdat je informeel wél onderscheid maakt tussen gevoelig en niet-gevoelig. Werk je met een schema maar is het niet overal doorgevoerd, geef dat dan ook zo aan; een half ingevoerd beleid is iets anders dan een vastgesteld beleid. Dit sluit direct aan op het toegangsbeleid en het beheer van bedrijfsmiddelen, want zonder classificatie is toegang op basis van gevoeligheid niet goed te onderbouwen. Werk je met versleuteling van vertrouwelijke bestanden, dan is dat het bewijsstuk voor het beleid over cryptografie — koppel dat antwoord er in het dossier aan.

Waar dat in de richtlijn en de norm staat

Artikel 21 lid 2 NIS2 noemt "beleid inzake risicobeoordeling en de beveiliging van informatiesystemen" en "beleid en procedures betreffende het gebruik van cryptografie" als twee van de tien maatregelen; classificatie van data is de schakel daartussen, niet een zelfstandig punt. In ISO/IEC 27001 staat dit explicieter: Annex A bevat beheersmaatregelen voor classificatie van informatie en voor het labelen van assets naar gevoeligheidsniveau. Heb je een ISO-certificaat, dan is dat meteen het sterkste bewijsstuk voor dit antwoord — check of dat in je dossier staat via de status van het ISO 27001-certificaat. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2 die op 15 augustus 2026 in werking treedt, verandert dit niet: de tien maatregelen komen ongewijzigd terug.