въпросникът иска да знае дали класифицираме данни според чувствителността

Класификацията на данните попада под политиката на достъпа и управлението на активите

Да, това е разпознаваема задача, и обикновено отговорът е, че класификацията на данните по чувствителност съществува като част от по-широка политика, а не като самостоятелен документ. В термините на NIS2 това попада под мерките за управление на активите и политиката на достъпа: да знаете какви данни имате, където се намират, и кой може да получи достъп до тях. Без класификация е трудно да се обоснове политиката на достъпа — не можете да кажете кой има право на достъп до "чувствителни данни", ако никога не сте определили какво попада под това понятие. Въпросниците, които питат за класификацията, обикновено очакват кратък отговор относно нивата (например публични, вътрешни, поверителни, строго поверителни) и относно това кой определя тези нива.

Ако това не сте записали, тогава "не" е честният отговор, и това само по себе си не е проблем за въпросника. Много по-малки доставчици работят неформално: данните се разграничават, но не според писана схема. В този случай е по-добре да напишете "не", отколкото да измислите класификация, която не съществува. Тази тема е тясно свързана с политиката за достъп и управлението на активите — ако там вече има отговор, е вероятно класификацията да се съдържа имплицитно в него и да можете да допълните този отговор вместо да го преправяте от нулата. Също е от значение дали съществува политика за криптография и шифриране е, защото нивата на класификация често определят кои данни ще бъдат криптирани.

Където е точно посочено: член 21, параграф 2 и Приложение A

Член 21, параграф 2 на Директивата NIS2 посочва управлението на активите и контролата на достъпа като две от десетте задължителни мерки; класификацията на данните е практическото им прилагане. В ISO/IEC 27001 Приложение A има експлицитни контролни мерки за класификацията на информацията и за етикетирането на активите — това е най-преките указания, когато един клиент поиска позоваване на стандарт. Законът за киберсигурност, който прилага директивата в Нидерландия и влиза в сила на 15 август 2026 г., следва същата разпределение на мерките.