въпросникът пита за класификацията на данни какво трябва да попълня

Класификация на чувствителни данни: няма отделна графа в член 21

Това попада под мярката за политика на достъпа и бизнес активи от член 21 параграф 2 на NIS2, а не под отделно изискване. Директивата посочва "управление на активи" и политика на достъпа под точка (d) на десетте мерки, и класификацията на данни е там логичната начална точка: не можете да ограничите достъпа до чувствителни данни, ако преди това не сте определили кои данни са чувствителни. Ако въпросникът поставя въпрос за класификация, то това трябва да бъде част от същото обосноваване като политиката за достъп и управлението на активите.

Конкретно клиентът обикновено иска да знае: имате ли разпределение (например публичен, вътрешен, поверителен, таен), е ли това разпределение документирано, и има ли правила, свързани с всяко ниво — кой има право да го вижда, как се съхранява, разрешено ли е да бъде изпратено с криптиране. Ако нямате формална класификация, но имате списък с чувствителни системи и кой има достъп до тях, често можете да представите това като частично доказателство; отговорът остава тогава "да, с обяснение" вместо готов "да". Ако нищо не е документирано, тогава "не" е честният отговор — измисляне на схема за класификация, за да попълните списъка, не создава документ, ако клиентът някога го поиска. Обърнете внимание и на припокриването с криптирането: ако класификацията води до правила за криптиране на най-високата категория, то това трябва да бъде част от политиката за криптография.

Където това е в регламентите

Член 21 параграф 2 буква (d) и (i) на Директива (EU) 2022/2555 посочват управлението на бизнес активи и политиката на контрол на достъпа като две от десетте задължителни мерки; класификацията на данни е връзката между тези две. ISO/IEC 27001 разработва това по-експлицитно: Приложение A има отделна категория за "классификация на информацията" в по-широката група контролни мерки за бизнес активи. Кой е вече ISO 27001 сертифициран, обикновено има схема за класификация като фиксирана част от системата за управление — вижте също въпроса дали предприятието е сертифицирано по ISO 27001. Законът за киберсигурност, nederlandскат трансформация на NIS2, влиза в сила на 15 август 2026 г. и повтаря тези десет мерки без да ги допълва с отделна статия за класификация.