vragenlijst vraagt naar classificatie van data wat moet ik invullen

Classificatie van gevoelige gegevens: geen apart hokje in artikel 21

Dit valt onder de maatregel voor toegangsbeleid en bedrijfsmiddelen uit artikel 21 lid 2 NIS2, niet onder een losse eis. De richtlijn noemt "asset management" en toegangsbeleid onder punt (d) van de tien maatregelen, en classificatie van gegevens is daar het logische startpunt van: je kunt geen toegang beperken tot gevoelige data als je niet eerst hebt vastgelegd welke data gevoelig is. Vraagt de vragenlijst dus naar classificatie, dan hoort dat bij dezelfde onderbouwing als het toegangsbeleid en het beheer van bedrijfsmiddelen.

Concreet wil de klant meestal weten: heb je een indeling (bijvoorbeeld openbaar, intern, vertrouwelijk, geheim), is die indeling vastgelegd in een document, en zijn er regels gekoppeld aan elk niveau — wie mag het inzien, hoe wordt het opgeslagen, mag het versleuteld verstuurd worden. Heb je geen formele classificatie maar wel een lijst met gevoelige systemen en wie daar toegang tot heeft, dan kun je dat vaak als gedeeltelijk bewijs aandragen; het antwoord blijft dan "ja, met toelichting" in plaats van een kant-en-klare "ja". Heb je niets vastgelegd, dan is "nee" het eerlijke antwoord — een classificatieschema verzinnen om de lijst in te vullen levert geen bewijsstuk op als de klant er ooit naar vraagt. Let ook op overlap met versleuteling: als classificatie leidt tot regels over encryptie van de hoogste categorie, hoort dat bij het beleid over cryptografie.

Waar dit in de regelgeving staat

Artikel 21 lid 2 sub (d) en (i) van Richtlijn (EU) 2022/2555 noemen bedrijfsmiddelenbeheer en toegangscontrolebeleid als twee van de tien verplichte maatregelen; classificatie van gegevens is het aanknopingspunt tussen die twee. ISO/IEC 27001 werkt dit explicieter uit: Annex A kent een aparte categorie voor "information classification" binnen de bredere groep beheersmaatregelen voor bedrijfsmiddelen. Wie al ISO 27001-gecertificeerd is, heeft dus meestal een classificatieschema als vast onderdeel van het managementsysteem — zie ook de vraag of de onderneming ISO 27001-gecertificeerd is. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, treedt op 15 augustus 2026 in werking en herhaalt deze tien maatregelen zonder ze aan te vullen met een apart classificatie-artikel.