Fragebogen möchte wissen, ob wir Daten nach Sensibilität klassifizieren

Klassifizierung von Daten fällt unter Zugriffskontrolle und Asset-Management

Ja, dies ist eine erkennbare Frage, und normalerweise besteht die Antwort darin, dass die Klassifizierung von Daten nach Sensibilität als Teil einer umfassenderen Richtlinie existiert, nicht als separates Dokument. In NIS2-Begriffen fällt dies unter die Maßnahmen für Asset-Management und Zugriffskontrolle: wissen, welche Daten man hat, wo sie sich befinden und wer darauf zugreifen darf. Ohne Klassifizierung ist eine Zugriffskontrolle schwer zu begründen — man kann nicht sagen, wer auf "sensible Daten" zugreifen darf, wenn man nie festgelegt hat, was darunter fällt. Checklisten, die nach Klassifizierung fragen, erwarten normalerweise eine kurze Antwort über Stufen (z. B. öffentlich, intern, vertraulich, streng vertraulich) und darüber, wer diese Stufen zuweist.

Wenn du dies nicht dokumentiert hast, dann ist "nein" die ehrliche Antwort, und das ist an sich kein Problem für die Checkliste. Viele kleinere Lieferanten arbeiten informell: Daten werden zwar unterschieden, aber nicht nach einem schriftlichen Schema. Geben Sie dann lieber "nein" an, als eine Klassifizierung zu erfinden, die nicht existiert. Dieses Thema hängt stark zusammen mit der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen — liegt dort bereits eine Antwort vor, besteht eine gute Chance, dass die Klassifizierung implizit darin enthalten ist und Sie diese Antwort ergänzen können, anstatt sie neu aufzubauen. Relevant ist auch, ob es Richtlinie zur Kryptografie und Verschlüsselung gibt, da die Klassifizierungsstufen oft bestimmen, welche Daten verschlüsselt werden.

Wo dies genau steht: Artikel 21 Absatz 2 und Annex A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt Asset-Management und Zugriffskontrolle als zwei der zehn obligatorischen Maßnahmen; Klassifizierung von Daten ist die praktische Umsetzung davon. In ISO/IEC 27001 Annex A finden sich explizite Kontrollmaßnahmen für die Klassifizierung von Informationen und für die Kennzeichnung von Assets — das ist die direkteste Fundstelle, wenn ein Kunde nach einer Normreferenz fragt. Das Cybersicherheitsgesetz, das die Richtlinie in den Niederlanden umsetzt und am 15. August 2026 in Kraft tritt, folgt der gleichen Aufteilung der Maßnahmen.