le questionnaire demande si nous classifions les données en fonction de leur sensibilité

La classification fait partie de la gestion des actifs, ce n'est pas une case séparée

Oui, une politique doit exister à ce sujet, mais elle n'est rarement autonome. La classification des données selon leur sensibilité (publique, interne, confidentielle, secrète) fait partie de la gestion des actifs de l'entreprise : on ne peut appliquer une protection appropriée que si l'on sait quelles données sont plus importantes. Les questionnaires qui posent séparément des questions sur la « classification of information » vérifient souvent si cette gestion va au-delà d'une simple liste dans un fichier Excel, c'est-à-dire s'il y a aussi des règles associées : qui a le droit de consulter quoi, comment est-ce étiqueté, que se passe-t-il avec les fichiers confidentiels.

Si vous ne l'avez pas documenté séparément, alors « à déterminer » est réaliste jusqu'à ce que vous vérifiez si c'est déjà implicitement dans votre politique d'accès et registre des actifs existe. De nombreuses entreprises classifient de manière informelle — l'informatique sait quels systèmes contiennent des données clients sensibles — sans qu'un document « schéma de classification » existe. Pour cette question, c'est souvent insuffisant : le demandeur veut voir un schéma avec des niveaux et les règles associées, pas seulement une intention.

À rapporter à l'article 21 alinéa 2 et à l'Annexe A

Dans l'article 21 alinéa 2 de la directive NIS2, la classification n'apparaît pas comme une lettre séparée, mais elle est intégrée dans les mesures relatives à la gestion des actifs et à la politique d'accès aux points (i) et (d). ISO/IEC 27001 est plus explicite : l'Annexe A comporte une catégorie distincte de mesures de contrôle pour la « classification of information », avec l'étiquetage et la manipulation comme contrôles séparés. Si vous travaillez déjà avec un certificat ISO 27001, c'est probablement déjà couvert et vous pouvez vous référer au certificat lui-même — voir si ce certificat est présent. Si vous tombez sous le coup de la Loi sur la cybersécurité dès son entrée en vigueur le 15 août 2026, la même obligation s'applique par le biais de la transposition néerlandaise de l'article 21 ; vérifiez d'abord si l'entreprise relève effectivement des entité relevant de cette directive, car cela détermine si c'est une obligation ou un choix.