enkäten frågar om vi klassificerar data efter känslighet

Klassificering är en del av tillgångshantering, inte en separat kategori

Ja, det måste finnas en policy för detta, men den står sällan för sig själv. Dataklassificering efter känslighet (offentlig, intern, konfidentiell, hemlig) hör till hanteringen av företagstillgångar: du kan först tillämpa lämpligt skydd när du vet vilka data som väger tyngre. Frågelistor som separat frågar om "classification of information" testar ofta om denna hantering går längre än en lista i en Excel-fil, dvs. om det också finns regler kopplade: vem får se vad, hur märks det, vad händer med konfidentiella filer.

Om du inte har detta separat dokumenterat är "ännu att bestämma" realistiskt tills du kontrollerar om det redan finns implicit i din åtkomsträttspolicy och tillgångsregister står. Många företag klassificerar informellt — IT vet vilka system som innehåller känslig kunddata — utan att det finns ett separat dokument "klassificeringsschema". För denna fråga är det ofta inte tillräckligt: den som ställer frågan vill se ett schema med nivåer och tillhörande regler, inte bara en avsikt.

Kan härledas till artikel 21 punkt 2 och Bilaga A

I artikel 21 punkt 2 i NIS2-direktivet står klassificering inte som en separat bokstav, utan är den invävd i åtgärderna om tillgångshantering och åtkomsträttspolicy under punkt (i) och (d). ISO/IEC 27001 är mer explicit: Bilaga A innehåller en separat kategori kontrollåtgärder för "information classification", med märkning och hantering som separata kontroller. Om du redan arbetar med ett ISO 27001-certifikat är detta sannolikt redan täckt och du kan hänvisa till själva certifikatet — se om certifikatet är närvarande. Om du omfattas av cyberlagstiftningen när den träder i kraft den 15 augusti 2026 gäller samma skyldighet genom den nederländska genomförningen av artikel 21; kontrollera först om företaget faktiskt är en enhet enligt det direktivet, eftersom det avgör om detta är en skyldighet eller ett val.