Dotazník chce vědět, zda třídíme data podle citlivosti

Klasifikace dat spadá pod zásady přístupu a správu aktiv

Ano, jde o rozpoznatelnou otázku a obvykle je odpověď taková, že klasifikace dat podle citlivosti existuje jako součást širší politiky, nikoli jako samostatný dokument. V kontextu NIS2 to spadá pod opatření pro správu aktiv a zásady přístupu: vědět, jaká data máte, kde jsou uložena a kdo k nim má přístup. Bez klasifikace je totiž obtížné podepřít zásady přístupu — nemůžete říci, kdo má přístup k "citlivým datům", pokud jste nikdy neurčili, co pod to spadá. Dotazníky, které se ptají na klasifikaci, obvykle očekávají krátkou odpověď o úrovních (například veřejné, interní, důvěrné, přísně důvěrné) a o tom, kdo tyto úrovně přiděluje.

Pokud jste to nezaznamenali, pak je "ne" poctivou odpovědí a sama o sobě to není problém pro dotazník. Mnoho menších dodavatelů pracuje neformálně: data se sice rozlišují, ale ne podle napsaného schématu. V takovém případě raději uveďte "ne" než si vymýšlejte klasifikaci, která neexistuje. Toto téma silně souvisí s zásad přístupu a správy podnikových prostředků — pokud tam již existuje odpověď, je velká pravděpodobnost, že klasifikace v ní implicitně figuruje a že tuto odpověď můžete doplnit místo aby jste ji znovu vytvářeli. Relevantní je také to, zda existuje zásady týkající se kryptografie a šifrování je, protože úrovně klasifikace často určují, která data se budou šifrovat.

Kde se to přesně nachází: článek 21 odst. 2 a Příloha A

Článek 21 odst. 2 směrnice NIS2 jmenuje správu aktiv a kontrolu přístupu jako dvě z deseti povinných opatření; klasifikace dat je praktickou realizací. V normě ISO/IEC 27001 Příloha A jsou explicitní kontrolní opatření pro klasifikaci informací a označování aktiv — to je nejpříměji relevantní zdroj, pokud se zákazník ptá na odkaz na normu. Zákon o kyberbezpečnosti, který transpozuje směrnici v Nizozemsku a vstoupí v platnost 15. srpna 2026, dodržuje stejné rozdělení opatření.