Was trage ich bei der Frage zur Datenklassifizierung ein

Datenklassifizierung gehört unter Zugangsrichtlinien, nicht unter Kryptografie

Datenklassifizierung fällt in der Frageliste meist unter den breiteren Bereich Zugangsrichtlinien und Verwaltung von Vermögenswerten — nicht unter den Bereich Verschlüsselung, wo einige Beantworter sie versehentlich einsortieren. Die Frage prüft, ob Sie Daten nach Sensibilität einteilen (z.B. öffentlich, intern, vertraulich, geheim) und ob mit dieser Einteilung auch tatsächlich unterschiedliche Zugriffsrechte und Verarbeitungsregeln verbunden sind. Ein Label ohne Konsequenzen zählt nicht als Klassifizierung.

Haben Sie kein Klassifizierungsschema, ist "nein" die ehrliche Antwort — nicht "nicht zutreffend". Einige Kunden akzeptieren als Zwischenschritt eine informelle Einteilung, sofern Sie nachweisen können, welche Systeme welche Daten enthalten und wer darauf Zugriff hat. Das tangiert unmittelbar die Frage ist die Zugangsrichtlinie dokumentiert, einschließlich der Verwaltung von Vermögenswerten: Ohne einen aktuellen Überblick über Vermögenswerte (Asset Inventory) ist Klassifizierung ohnehin schwer zu untermauern. Haben Sie ein Schema, aber keinen Beleg, laden Sie dann das Richtliniendokument oder das Klassifizierungsverzeichnis selbst hoch; eine mündliche Absprache genügt nicht als Beweis.

Woher das kommt: Annex A und Artikel 21 Absatz 2

ISO/IEC 27001 Annex A nennt die Klassifizierung von Informationen als Kontrollmaßnahme, gekoppelt an die breitere Anforderung zur Verwaltung von Vermögenswerten (Asset Management). NIS2, Artikel 21 Absatz 2, nennt Datenklassifizierung nicht als separaten Begriff, doch die zehn Maßnahmen aus diesem Absatz umfassen Zugangsrichtlinien und Sicherung von Informationssystemen insgesamt — Klassifizierung ist darin das Instrument, um zu bestimmen, welches Schutzniveau wo erforderlich ist. Sind Sie selbst eine Entität unter dem Cybersicherheitsgesetz, ist dies einer der Aspekte, den eine Aufsichtsbehörde konkret abfragen kann; prüfen Sie das über unterliegt das Unternehmen selbst der NIS2-Richtlinie oder deren nationale Umsetzung. Haben Sie ein ISO 27001-Zertifikat, ist Klassifizierung meist bereits im Geltungsbereich Ihres Informationssicherheitsmanagementsystems festgelegt und Sie können direkt darauf verweisen.