spørgeskemaet spørger om dataklassificering, hvad skal jeg udfylde

Klassificering af følsomme data: intet separat afsnit i artikel 21

Dette falder under foranstaltningen for adgangskontrol og forretningsressourcer i artikel 21 stk. 2 NIS2, ikke under et løst krav. Direktivet nævner "asset management" og adgangskontrol under punkt (d) blandt de ti foranstaltninger, og klassificering af data er det logiske udgangspunkt herfor: du kan ikke begrænse adgangen til følsomme data, hvis du ikke først har fastlagt, hvilke data der er følsomme. Hvis spørgeskemaet således spørger til klassificering, hører det til den samme dokumentation som adgangspolitikken og styringen af virksomhedsressourcer.

Konkret ønsker kunden normalt at vide: har du en inddeling (f.eks. offentlig, intern, fortrolig, hemmelig), er denne inddeling fastlagt i et dokument, og er der regler knyttet til hvert niveau — hvem må se det, hvordan opbevares det, må det sendes krypteret. Hvis du ikke har en formaliseret klassificering, men derimod har en liste over følsomme systemer og hvem der har adgang til dem, kan du ofte fremlægge det som delvist bevis; svaret bliver så "ja, med præcisering" i stedet for et klar og færdigt "ja". Hvis du ikke har fastlagt noget, er "nej" det ærlige svar — at opfinde et klassificeringsskema for at udfylde listen giver ikke et bevisstykke, hvis kunden senere spørger til det. Pas også på overlap med kryptering: hvis klassificering fører til regler om kryptering af den højeste kategori, hører det til krypteringspolitikken.

Hvor dette findes i regelgivningen

Artikel 21 stk. 2 litra (d) og (i) i Direktiv (EU) 2022/2555 nævner forvaltning af forretningsressourcer og politik for adgangskontrol som to af de ti obligatoriske foranstaltninger; klassificering af data er forbindelsespunktet mellem disse to. ISO/IEC 27001 udarbejder dette mere eksplicit: Bilag A indeholder en separat kategori for "information classification" inden for den bredere gruppe kontrolforanstaltninger for forretningsressourcer. Den, der allerede er ISO 27001-certificeret, har således normalt et klassificeringsskema som fast del af ledelsessystemet — se også spørgsmålet om virksomheden er ISO 27001-certificeret. Cybersikkerhedsloven, den danske gennemførelse af NIS2, træder i kraft den 15. august 2026 og gentager disse ti foranstaltninger uden at supplere dem med en separat klassificerings-artikel.