kund frågar hur vi klassificerar känslig information, vad är vårt svar

Klassificering av känslig data faller under tillgångshantering och åtkomstpolicy

Denna fråga hör till åtgärden för tillgångar och åtkomst från artikel 21 punkt 2 NIS2: veta vilken information du har, hur känslig den är och vem som får ha tillgång till den. Ett klassificeringssystem i sig är ingen separat lista i artikel 21 — det är den praktiska genomförandet med vilket du kan underbygga din åtkomstpolicy och krypteringspolicy. Kunder frågar detta vanligtvis för att kontrollera om du gör skillnad mellan offentlig, intern, konfidentiell och strikt konfidentiell information, och om det finns konkreta regler för detta: vem får se det, hur krypteras det, hur länge sparas det.

Om du inte har ett formellt klassificeringssystem med etiketter och regler per nivå, är det ärliga svaret "nej" eller "delvis" — fyll inte i att det finns därför att du informellt faktiskt gör skillnad mellan känslig och icke-känslig information. Arbetar du med ett system men är det inte genomfört överallt, ange det då också så; en halvinförda policy är något annat än en fastställd policy. Detta är direkt kopplat till åtkomstpolicy och hantering av företagstillgångareftersom åtkomst baserad på känslighet inte kan underbyggas väl utan klassificering. Arbetar du med kryptering av konfidentiella filer, då är det bevisningen för policyn om kryptografi — länka det svaret i dossieren.

Var det finns i riktlinjen och normen

Artikel 21 punkt 2 NIS2 nämner "policy för riskbedömning och säkerhet för informationssystem" och "policy och procedurer för användning av kryptografi" som två av de tio åtgärderna; klassificering av data är länken mellan dessa, inte en självständig punkt. I ISO/IEC 27001 anges detta tydligare: Annex A innehåller kontrollåtgärder för klassificering av information och märkning av tillgångar enligt känslighetsnivå. Har du ett ISO-certifikat är det omedelbar det starkaste beviset för detta svar — kontrollera om det finns i ditt dossier via statusen för ISO 27001-certifikatet. Cybersakerhetsslagen, den nederländska genomförandet av NIS2 som träder i kraft den 15 augusti 2026, ändrar detta inte: de tio åtgärderna återkommer oförändrade.