jautājumā tiek vaicāts par datu klasifikāciju - ko es tur ierakstu

Sensitīvo datu klasifikācija: nav atsevišķa punkta 21. pantā

Tas ietilpst drošības pasākumā piekļuves politikai un biznesa resursiem saskaņā ar NIS2 21. panta 2. punktu, nevis atsevišķā prasībā. Direktīva min "asset management" un piekļuves politiku desmit pasākumu (d) punktā, un datu klasifikācija ir loģiskais sākumpunkts: jūs nevarat ierobežot piekļuvi sensitīviem datiem, ja vispirms neesat noteikuši, kuri dati ir sensitīvi. Tāpēc, ja jautājumu saraksts jautā par klasifikāciju, tas jāietver tajā pašā pamatojumā kā piekļuves politiku un uzņēmuma līdzekļu pārvaldi.

Praktiski klients parasti vēlas zināt: vai jums ir sadalījums (piemēram, publisks, iekšējs, konfidenciāls, slepens), vai šis sadalījums ir dokumentēts, un vai ir noteikumi, kas saistīti ar katru līmeni — kurš to drīkst apskatīt, kā tas tiek glabāts, vai to drīkst sūtīt šifrētā veidā. Ja jums nav formālas klasifikācijas, bet ir saraksts ar sensitīvām sistēmām un kuriem ir piekļuve, tad jūs bieži varat to uzrādīt kā daļēju pierādījumu; atbilde tad paliek "jā, ar paskaidrojumu" nevis gatavs "jā". Ja jums nekas nav dokumentēts, tad "nē" ir godīga atbilde — klasifikācijas shēmu izdomāt, lai aizpildītu sarakstu, nenodrošina pierādījuma dokumentu, ja klients to kādreiz pieprasīs. Ņemiet vērā arī pārklāšanos ar šifrēšanu: ja klasifikācija noved pie noteikumiem par augstākās kategorijas šifrēšanu, tas jāietver kriptografijas politiku.

Kur tas atrodas normatīvajā regulējumā

21. panta 2. apakšpunkts (d) un (i) Direktīvai (EU) 2022/2555 nosaka aktīvu pārvaldību un piekļuves kontroles politiku kā divas no desmit obligātajiem pasākumiem; datu klasifikācija ir sasaistes punkts starp šiem abiem. ISO/IEC 27001 to izstrādā skaidrāk: pielikumā A ir atsevišķa kategorija "information classification" (informācijas klasifikācijai) plašākā aktīvu pārvaldības kontroles pasākumu grupā. Kam jau ir ISO 27001 sertifikācija, parasti ir klasifikācijas shēma kā fiksēta pārvaldības sistēmas daļa — skatīt arī jautājumu, vai uzņēmums ir ISO 27001 sertificētsKiberdrošības likums, NIS2 Nīderlandes transponēšana, stājas spēkā 2026. gada 15. augustā un atkārto šos desmit pasākumus, nepapildinot tos ar atsevišķu klasifikācijas pantu.