въпросникът пита дали класифицираме данни по чувствителност

Класифицирането е част от управлението на активите, не е отделна кутия

Да, трябва да съществува политика за това, но тя рядко стои сама по себе си. Класифициране на данните по чувствителност (публични, вътрешни, поверителни, тайни) е част от управлението на корпоративните ресурси: можеш да приложиш подходяща защита само ако знаеш кои данни имат по-голяма тежест. Списъците с въпроси, които отделно питат за "classification of information", често проверяват дали това управление надвишава един списък в Excel файл, т.е. дали има и правила, които го съпровождат: кой може да вижда какво, как се етикетира, какво се случва с поверителните файлове.

Ако нямаш това отделно написано, тогава "още да бъде определено" е реалистично, докато провериш дали то вече е имплицитно в твоята политика за достъп и регистър на активите стои. Много предприятия класифицират неформално — IT отделът знае кои системи съдържат чувствителни клиентски данни — без да съществува документ "схема за класифициране". За този въпрос това често не е достатъчно: въпросният лице иска да вижда схема с нива и съответните правила, не само намерение.

Подлежи на член 21, параграф 2 и Приложение А

В член 21, параграф 2 на NIS2 директивата класифицирането не стои като отделна точка, но е преплетено в мерките за управление на активите и политика за достъп под точки (i) и (d). ISO/IEC 27001 е по-явно: Приложение А съдържа отделна категория мерки за контрол за "information classification", с етикетиране и работа като отделни контроли. Ако вече работиш с ISO 27001 сертификат, това вероятно вече е покрито и можеш да се позовеш на самия сертификат — вижте дали този сертификат е налице. Ако подлежиш на Закона за киберсигурност от момента на влизане в сила на 15 август 2026 г., същото задължение мине през нидерландския преглед на член 21; първо проверяваш дали предприятието действително попада като същност под тази директива, тъй като това определя дали това е задължение или избор.