la liste de questions demande une classification des données, que dois-je remplir

Classification des données sensibles : pas de case distincte à l'article 21

Cela relève de la mesure relative à la politique d'accès et aux actifs informatiques de l'article 21, paragraphe 2, directive NIS2, et non d'une exigence isolée. La directive mentionne la « gestion des actifs » et la politique d'accès au point (d) des dix mesures, et la classification des données en est le point de départ logique : vous ne pouvez pas restreindre l'accès aux données sensibles si vous n'avez d'abord établi quelles données sont sensibles. Si le questionnaire porte donc sur la classification, celle-ci relève de la même justification que la politique d'accès et de la gestion des actifs.

Concrètement, le client veut généralement savoir : avez-vous une classification (par exemple public, interne, confidentiel, secret), cette classification est-elle documentée, et existe-t-il des règles attachées à chaque niveau — qui peut y accéder, comment est-elle stockée, peut-elle être envoyée de manière chiffrée. Si vous n'avez pas de classification formelle mais disposez d'une liste des systèmes sensibles et des personnes qui y ont accès, vous pouvez souvent la produire en preuve partielle ; la réponse reste alors « oui, avec explications » plutôt qu'un simple « oui ». Si vous n'avez rien documenté, « non » est la réponse honnête — inventer un schéma de classification pour remplir le questionnaire ne produit pas de preuve si le client vous la demande ultérieurement. Attention également au chevauchement avec le chiffrement : si la classification conduit à des règles sur le chiffrement de la catégorie la plus élevée, cela relève de la politique relative à la cryptographie.

Où cela figure dans la réglementation

L'article 21, paragraphe 2, points (d) et (i), de la directive (UE) 2022/2555 énumèrent la gestion des actifs informatiques et la politique de contrôle d'accès comme deux des dix mesures obligatoires ; la classification des données en est le point de connexion. La norme ISO/IEC 27001 l'expose plus explicitement : l'annexe A comprend une catégorie distincte pour la « classification de l'information » dans le groupe plus large des mesures de contrôle pour la gestion des actifs. Quiconque est déjà certifié ISO 27001 dispose généralement d'un schéma de classification comme élément fixe du système de gestion — voir aussi la question de l'entreprise est certifiée ISO 27001. La loi sur la cybersécurité, la transposition néerlandaise de la NIS2, entre en vigueur le 15 août 2026 et répète ces dix mesures sans les compléter par un article distinct sur la classification.