zákazník sa pýta, ako klasifikujeme citlivé informácie, aká je naša odpoveď

Klasifikácia citlivých údajov patrí do správy aktív a politiky prístupu

Táto otázka patrí k opatreniam pre obchodný majetok a prístup podľa článku 21 ods. 2 NIS2: vedieť, ktoré informácie máte, aké sú citlivé a kto k nim má prístup. Klasifikačné schéma samo o sebe nie je samostatný zoznam v článku 21 — ide o praktickú implementáciu, ktorou môžete zdôvodniť svoju politiku prístupu a politiku kryptografie. Klienti to zvyčajne pýtajú na overenie, či robíte rozlíšenie medzi verejnými, internými, dôvernými a prísne dôvernými informáciami a či sú na tieto úrovne viazané konkrétne pravidlá: kto môže vidieť, ako sa šifruje, ako dlho sa uchovávajú.

Ak nemáte formálne klasifikačné schéma s označeniami a pravidlami pre jednotlivé úrovne, čestná odpoveď je "nie" alebo "čiastočne" — nevyplňujte, že schéma existuje, len preto, že neformálne naozaj robíte rozlíšenie medzi citlivými a necitlivými údajmi. Ak pracujete so schémou, ale nie je všade zavedená, uveďte to aj takto; čiastočne zavedená politika je niečo iné ako zavedená politika. To priamo súvisí s politike prístupu a správe podnikových aktív, pretože bez klasifikácie sa nemôže prístup podľa citlivosti správne zdôvodniť. Ak pracujete so šifrovaním dôverných súborov, je to dôkaz pre politiku o kryptografii — prepojte túto odpoveď v dossier.

Kde je to uvedené v smernici a norme

Článok 21 ods. 2 NIS2 spomína "politiku posudzovania rizík a bezpečnosti informačných systémov" a "politiku a postupy týkajúce sa používania kryptografie" ako dve z desiatich opatrení; klasifikácia údajov je väzba medzi nimi, nie samostatný bod. V norme ISO/IEC 27001 je to výraznější: príloha A obsahuje bezpečnostné opatrenia na klasifikáciu informácií a označovanie aktív podľa úrovne citlivosti. Ak máte certifikát ISO, je to okamžite najsilnejší dôkaz pre túto odpoveď — skontrolujte, či je v vašom dossier prostredníctvom stav certifikátu ISO 27001. Zákon o kybernetickej bezpečnosti, nizozemská transpozícia NIS2 nadobúdajúca účinnosť 15. augusta 2026, toto nemení: všetkých desať opatrení sa vracia nezmenených.