zoznam otázok chce vedieť, či klasifikujeme údaje podľa citlivosti

Klasifikácia údajov spadá pod politiku prístupu a správu aktív

Áno, toto je rozpoznateľná otázka a zvyčajne je odpoveďou, že klasifikácia údajov podľa citlivosti existuje ako súčasť širšej politiky, nie ako samostatný dokument. V podmienkach NIS2 to spadá pod opatrenia na správu aktív a politiku prístupu: vedieť, ktoré údaje máte, kde sa nachádzajú a kto k nim môže pristupovať. Bez klasifikácie je totiž politika prístupu ťažko udržateľná — nemôžete povedať, kto môže pristupovať k "citlivým údajom", ak ste nikdy nedefinovali, čo pod to patrí. Zoznam otázok, ktoré sa pýtajú na klasifikáciu, zvyčajne očakávajú krátku odpoveď o úrovniach (napríklad verejný, interný, dôverný, prísne dôverný) a o tom, kto tieto úrovne prideľuje.

Ak ste to nevymedzili, potom je "nie" česť poctivej odpovede a to samo o sebe nie je problémom pre zoznam otázok. Veľa menších dodávateľov pracuje neformálne: údaje sa rozlišujú, ale nie podľa písanej schémy. V tom prípade je lepšie napísať "nie" ako vymýšľať si klasifikáciu, ktorá neexistuje. Táto téma úzko súvisí s politike prístupu a správe podnikových aktív — ak tam už je odpoveď, je veľká pravdepodobnosť, že klasifikácia v tom implicitne existuje a túto odpoveď môžete doplniť namiesto toho, aby ste ju znova budovali. Relevantné je tiež to, či existuje politiky kryptografie a šifrovania je, pretože úrovne klasifikácie často určujú, ktoré údaje sa šifrujú.

Kde sa to presne nachádza: článok 21 odsek 2 a Príloha A

Článok 21 odsek 2 smernice NIS2 uvádza správu majetku a kontrolu prístupu ako dve z desiatich povinných opatrení; klasifikácia údajov je praktickým naplnením tohto. V norme ISO/IEC 27001 Príloha A sú explicitne uvedené riadiace opatrenia na klasifikáciu informácií a označovanie majetku — to je najvhodnejšia zdroj, ak zákazník žiada odvolávku na normu. Zákon o kybernetickej bezpečnosti, ktorý transpozuje smernicu v Holandsku a vstúpi do platnosti 15. augusta 2026, nasleduje rovnakú štruktúru opatrení.