frågelistan frågar om klassificering av data vad ska jag fylla i

Klassificering av känslig data: ingen separat ruta i artikel 21

Detta faller under åtgärden för åtkomstpolicy och affärsresurser från artikel 21 stycke 2 NIS2, inte under ett separat krav. Direktivet nämner "asset management" och åtkomstpolicy under punkt (d) av de tio åtgärderna, och klassificering av data är där utgångspunkten: du kan inte begränsa åtkomsten till känslig data om du först inte har fastställt vilken data som är känslig. Om frågeformuläret således frågar om klassificering, hör det till samma underbyggnad som åtkomstpolicy och hantering av företagstillgångar.

I praktiken vill kunden oftast veta: har du en indelning (till exempel offentlig, intern, konfidentiell, hemlig), är den indelningen dokumenterad, och finns det regler kopplade till varje nivå — vem får se det, hur lagras det, får det skickas krypterat. Om du inte har en formell klassificering men väl en lista över känsliga system och vem som har åtkomst till dem, kan du ofta presentera det som partiellt bevis; svaret blir då "ja, med förklaring" istället för ett färdigt "ja". Om du inte har dokumenterat något, är "nej" det ärliga svaret — att ta fram ett klassificeringsschema för att fylla i listan ger inget bevisstycke om kunden någonsin frågar. Notera också överlappning med kryptering: om klassificering leder till regler om kryptering av den högsta kategorin, hör det till policyn om kryptografi.

Var detta återfinns i regelverken

Artikel 21 stycke 2 punkt (d) och (i) i direktiv (EU) 2022/2555 nämner hantering av affärsresurser och åtkomstkontrollpolicy som två av de tio obligatoriska åtgärderna; klassificering av data är anknytningspunkten mellan dessa två. ISO/IEC 27001 arbetar detta fram mer explicit: Annex A har en separat kategori för "information classification" inom den bredare gruppen kontrollåtgärder för affärsresurser. Den som redan är ISO 27001-certifierad har således vanligtvis ett klassificeringsschema som en fast del av managementsystemet — se också frågan om företaget är ISO 27001-certifierat. Cybersäkerhetszagen, den nederländska genomförningen av NIS2, träder i kraft den 15 augusti 2026 och upprepar dessa tio åtgärder utan att komplettera dem med en separat klassificeringsartikel.