chestionarul întreabă dacă clasificăm datele după sensibilitate

Clasificarea face parte din managementul activelor, nu dintr-o categorie separată

Da, trebuie să existe o politică pentru aceasta, dar rareori stă de sine stătătoare. Clasificarea datelor după sensibilitate (public, intern, confidențial, secret) face parte din managementul bunurilor companiei: poți aplica protecție adecvată doar dacă știi care date au o pondere mai mare. Chestionarele care pun separat întrebări despre "classification of information" testează adesea dacă acel management merge mai departe decât o listă într-un fișier Excel, adică dacă au și reguli atașate: cine are dreptul să vadă ce, cum este etichetat, ce se întâmplă cu fișierele confidențiale.

Dacă nu ai documentat aceasta separat, atunci "încă de determinat" este realist până când verifici dacă este deja implicit în politică de acces și registrul de active stat. Multe întreprinderi clasifică informal — IT știe care sisteme conțin date sensibile ale clienților — fără ca să existe un document "schemă de clasificare". Pentru această întrebare, acest lucru este adesea insuficient: solicitantul dorește să vadă o schemă cu niveluri și reguli corespunzătoare, nu doar o intenție.

Urmărire conform articolului 21 alineatul 2 și Anexei A

În articolul 21 alineatul 2 al Directivei NIS2, clasificarea nu apare ca o literă separată, ci este integrată în măsurile privind gestionarea activelor și politica de acces conform punctelor (i) și (d). ISO/IEC 27001 este mai explicit: Anexa A conține o categorie separată de măsuri de control pentru "information classification", cu etichetare și manipulare ca controale separate. Dacă deja lucrezi cu un certificat ISO 27001, acesta este probabil deja acoperit și poți să faci referință la certificatul însuși — vezi dacă certificatul respectiv este prezent. Dacă ești supus Legii de securitate cibernetică odată ce aceasta intră în vigoare la 15 august 2026, aceeași obligație se aplică prin transpunerea din partea Olandei a articolului 21; verifică mai întâi dacă întreprinderea cade efectiv sub incidența directivei respective entitate în cadrul directivei respective, pentru că aceasta determină dacă aceasta este o obligație sau o alegere.