kyselylomake kysyy tietojen luokittelusta, mitä minun tulee täyttää

Arkaluontoisten tietojen luokittelu: ei erillistä kohtaa artiklan 21 nojalla

Tämä kuuluu artiklan 21 luvun 2 mukaisen pääsykontrollipolitiikan ja liiketoiminnan välineiden toimenpiteiden piiriin, ei erillisen vaatimuksen alaiseksi. Direktiivi mainitsee "omaisuudenhallinnon" ja pääsykontrollipolitiikan kymmenen toimenpidettä koskevassa kohdassa (d), ja tietojen luokittelu on sen looginen lähtökohta: et voi rajoittaa pääsyä arkaluonteisiin tietoihin, jos et ole ensin määritellyt, mitkä tiedot ovat arkaluonteisia. Kysyvätkö kyselylomakkeet siis luokittelusta, se kuuluu samaan perusteluun kuin pääsynhallintaan ja yritysvarojen hallintaan.

Käytännössä asiakas yleensä haluaa tietää: onko sinulla luokittelu (esimerkiksi julkinen, sisäinen, luottamuksellinen, salainen), onko luokittelu kirjattu asiakirjaan, ja ovatko kunkin tason kanssa liittyneet säännöt olemassa — kuka saa tarkastella sitä, miten se tallennetaan, voidaanko se lähettää salattuina. Jos sinulla ei ole muodollista luokittelua mutta sinulla on luettelo arkaluonteisista järjestelmistä ja niiden käyttöoikeuksista, voit usein esittää sen osittaisena todisteena; vastaus on tällöin "kyllä, täydennyksellä" valmiin "kyllä"-vastauksen sijaan. Jos et ole dokumentoinut mitään, "ei" on rehellinen vastaus — luokittelukaavion keksiminen kyselylomakkeen täyttämistä varten ei tuota todisteen asiakirjaa, jos asiakas sitä myöhemmin kysyy. Kiinnitä huomiota myös salaukseen liittyvään päällekkäisyyteen: jos luokittelu johtaa sääntöihin korkeimman kategorian salauksen osalta, se kuuluu salausperiaatetta koskevan politiikan osalta.

Missä tämä sääntelyssä on mainittu

Direktiivin (EU) 2022/2555 artiklan 21 luvun 2 alakohta (d) ja (i) mainitset liiketoiminnan välineiden hallinnan ja pääsykontrollipolitiikan kahtena kymmenestä pakollisesta toimenpiteestä; tietojen luokittelu on näiden kahden väliset yhteyspisteet. ISO/IEC 27001 käsittelee tätä eksplisiittisemmin: liitteessä A on erillinen kategoria "tietojen luokittelulle" liiketoiminnan välineiden hallintaa koskevien laajempien valvontatoimenpiteiden sisällä. Joka on jo ISO 27001 -sertifioitu, sillä on yleensä luokittelukaavio hallintajärjestelmän vakiintuneena osana — katso myös kysymys siitä, onko yritys ISO 27001 -sertifioituKyberturvallisuuslaki, Alankomaiden NIS2-siirto, astuu voimaan 15. elokuuta 2026 ja toistaa nämä kymmenen toimenpidettä täydentämättä niitä erillisellä luokittelu-artiklalla.