vragenlijst wil weten of wij data classificeren naar gevoeligheid

Classificatie van gegevens valt onder toegangsbeleid en assetbeheer

Ja, dit is een herkenbare vraag, en meestal is het antwoord dat de indeling van data naar gevoeligheid bestaat als onderdeel van breder beleid, niet als los document. In NIS2-termen valt dit onder de maatregelen voor asset management en toegangsbeleid: weten welke gegevens je hebt, waar ze staan, en wie erbij mag. Zonder classificatie is toegangsbeleid namelijk moeilijk te onderbouwen — je kunt niet zeggen wie bij "gevoelige data" mag als je nooit hebt vastgelegd wat daaronder valt. Vragenlijsten die naar classificatie vragen, verwachten meestal een kort antwoord over niveaus (bijvoorbeeld openbaar, intern, vertrouwelijk, strikt vertrouwelijk) en over wie die niveaus toekent.

Heb je dit niet vastgelegd, dan is "nee" het eerlijke antwoord, en dat is op zichzelf geen probleem voor de vragenlijst. Veel kleinere leveranciers werken informeel: data wordt wel onderscheiden, maar niet volgens een geschreven schema. Zet dan liever "nee" dan een indeling te verzinnen die niet bestaat. Dit onderwerp hangt sterk samen met het toegangsbeleid en het beheer van bedrijfsmiddelen — als daar al een antwoord ligt, is de kans groot dat classificatie er impliciet in staat en dat je dat antwoord kunt aanvullen in plaats van opnieuw op te bouwen. Ook relevant is of er beleid over cryptografie en versleuteling is, omdat classificatieniveaus vaak bepalen welke data versleuteld wordt.

Waar dit precies staat: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt asset management en toegangscontrole als twee van de tien verplichte maatregelen; classificatie van gegevens is de praktische invulling daarvan. In ISO/IEC 27001 Annex A staan expliciete beheersmaatregelen voor classificatie van informatie en voor het labelen van assets — dat is de meest directe vindplaats als een klant naar een normreferentie vraagt. De Cyberbeveiligingswet, die de richtlijn in Nederland omzet en op 15 augustus 2026 in werking treedt, volgt dezelfde indeling van maatregelen.