lista kontrolna pyta o klasyfikację danych, co powinienem wpisać

Klasyfikacja danych wrażliwych: brak osobnego pola w artykule 21

Wchodzi to w zakres środka dotyczącego polityki dostępu i aktywów biznesowych z artykułu 21 ust. 2 dyrektywy NIS2, a nie osobnego warunku. Dyrektywa wymienia "zarządzanie aktywami" i politykę dostępu w punkcie (d) dziesięciu środków, a klasyfikacja danych jest logicznym punktem wyjścia: nie można ograniczyć dostępu do danych wrażliwych, jeśli wcześniej nie ustalono, które dane są wrażliwe. Jeśli kwestionariusz pyta o klasyfikację, powinno to być częścią tego samego uzasadnienia co polityki dostępu i zarządzania zasobami przedsiębiorstwa.

W praktyce klient zwykle chce wiedzieć: czy macie podział (na przykład publiczne, wewnętrzne, poufne, tajne), czy ten podział jest udokumentowany, i czy dla każdego poziomu obowiązują zasady — kto może to przeglądać, jak jest przechowywane, czy może być przesyłane w postaci zaszyfrowanej. Jeśli nie macie formalnej klasyfikacji, ale macie listę systemów wrażliwych i kto ma do nich dostęp, często możecie to przedstawić jako częściowy dowód; odpowiedź pozostaje wtedy "tak, z wyjaśnieniem" zamiast gotowego "tak". Jeśli nic nie udokumentowaliście, "nie" to uczciwa odpowiedź — wymyślenie schematu klasyfikacji, aby wypełnić kwestionariusz, nie daje dowodu, jeśli klient kiedyś się o to zapyta. Zwróćcie też uwagę na przenikanie się z szyfrowaniem: jeśli klasyfikacja prowadzi do zasad dotyczących szyfrowania najwyższej kategorii, powinno to być uwzględnione w polityki dotyczącej kryptografii.

Gdzie znajduje się to w regulacjach

Artykuł 21 ust. 2 lit. (d) i (i) Dyrektywy (UE) 2022/2555 wymienia zarządzanie aktywami biznesowymi i politykę kontroli dostępu jako dwa z dziesięciu obowiązkowych środków; klasyfikacja danych jest punktem łączącym te dwa. ISO/IEC 27001 opracowuje to bardziej wprost: Załącznik A zawiera osobną kategorię "klasyfikacji informacji" w ramach szerszej grupy środków kontrolnych do zarządzania aktywami. Jeśli już posiadacie certyfikat ISO 27001, zwykle macie schemat klasyfikacji jako stałą część systemu zarządzania — patrz też pytanie, czy przedsiębiorstwo posiada certyfikat ISO 27001. Ustawa o cyberbezpieczeństwie, polska transpozycja NIS2, wchodzi w życie 15 sierpnia 2026 r. i powtarza te dziesięć środków bez uzupełniania ich osobnym artykułem dotyczącym klasyfikacji.