küsimustik küsib, kas me klassifitseerime andmeid tundlikkuse järgi

Klassifitseerimine on osa varahaldustest, mitte eraldi kast

Jah, selleks peab poliitika olemas olema, kuid see harva seisab omaette. Andmete klassifitseerimine tundlikkuse järgi (avalik, sisemine, konfidentsiaalne, salajane) kuulub ettevõtte vahendite haldamisse: saad õigeid kaitsemeetmeid rakendada ainult siis, kui tead, millised andmed on olulisemad. Küsimustikud, mis küsivad eraldi "information classification" kohta, testivad sageli, kas see haldamine läheb kaugemale kui Exceli tabelist, ehk kas sellega kaasneb ka reegleid: kes võib mida näha, kuidas märgistatakse, mis juhtub konfidentsiaalsete failidega.

Kui sa seda eraldi välja ei kirjuta, siis "veel määratamata" on realistlik kuni sa kontrollid, kas see juba peitub su juurdepääsupoliitika ja vararegistris peidus. Paljud ettevõtted klassifitseerivad mitteformaalsel viisil — IT teab, millised süsteemid sisaldavad tundlikke klientandmeid — ilma et eksisteeriks dokument "klassifitseerimisviis". Selle küsimuse puhul piisab sellest sageli: küsija soovib näha skeemi tasemetega ja vastavate reeglitega, mitte ainult kavatsust.

Jälgitav artikli 21 lõike 2 ja Annex A juurde

NIS2 direktiivi artikli 21 lõikes 2 klassifitseerimist eraldi tähena ei nimetata, kuid see on kudutud varamhaldustega seotud meetmete sisse ja juurdepääsupoliitika alla punktides (i) ja (d). ISO/IEC 27001 on selgem: Annex A tunnustab eraldi kontrollmeetmete kategooriat "information classification" jaoks, märgistamise ja käsitlemisega eraldi kontrollmeetmete all. Kui sa juba ISO 27001 sertifikaadiga tööd teed, siis on see tõenäoliselt juba kaetud ja saad viitata sertifikaadile endale — vaata kas sertifikaat on olemas. Kui sa langeb Küberturvalisuse seaduse alla alates selle jõustumisest 15. augustil 2026, siis sama kohustus kehtib artikli 21 kaudu Hollandi ülevõtmise kaudu; kõigepealt kontrolli, kas ettevõte tõepoolest kuulub selle direktiivi kohane üksus, sest see määrab, kas see on kohustus või valik.