chestionar vrea să știe dacă clasificăm datele după sensibilitate

Clasificarea datelor se încadrează în politica de acces și managementul activelor

Da, aceasta este o întrebare recunoscută, iar de obicei răspunsul este că clasificarea datelor după sensibilitate există ca parte a unui politici mai larg, nu ca document separat. În termeni NIS2, aceasta se încadrează în măsurile de management al activelor și politica de acces: a ști ce date ai, unde se află, și cine are acces la ele. Fără clasificare, politica de acces este greu de justificat — nu poți spune cine are acces la "datele sensibile" dacă nu ai stabilit niciodată ce se încadrează în această categorie. Chestionarele care cer clasificare se aștept de obicei la un răspuns scurt despre niveluri (de exemplu, public, intern, confidențial, strict confidențial) și despre cine atribuie aceste niveluri.

Dacă nu ai stabilit acest lucru, atunci "nu" este răspunsul cinstit, și aceasta nu este o problemă în sine pentru chestionar. Mulți furnizori mai mici lucrează informal: datele sunt diferențiate, dar nu conform unui schema scris. În acest caz, este mai bine să scrii "nu" decât să inventezi o clasificare care nu există. Acest subiect este strâns legat de politica de acces și gestiunea activelor de afaceri — dacă există deja un răspuns acolo, este probabil că clasificarea se regăsește implicit în acesta și că poți completa acel răspuns în loc să-l reconstruiești de la zero. De asemenea, este relevant dacă există politica privind criptografia și criptarea deoarece nivelurile de clasificare determină adesea ce date vor fi criptate.

Unde se află aceasta exact: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 al Directivei NIS2 enumeră managementul activelor și controlul accesului ca două dintre cele zece măsuri obligatorii; clasificarea datelor este implementarea practică a acestora. În ISO/IEC 27001 Anexa A există măsuri de control explicite pentru clasificarea informațiilor și etichetarea activelor — aceasta este locația cea mai directă dacă un client cere o referință de normare. Legea privind securitatea cibernetică, care transpune directiva în Olanda și intră în vigoare pe 15 august 2026, urmează aceeași structură de măsuri.