A kérdőív az adatok osztályozása után kérdez, mit kell kitöltenim

Az érzékeny adatok besorolása: nincs külön mező a 21. cikkben

Ez a 21. cikk (2) bekezdésének hozzáférés-szabályozási és üzleti eszközkezelési intézkedésére vonatkozik, nem egy önálló követelmény. Az irányelvben az "asset management" és a hozzáférés-szabályozási politika szerepel a tíz intézkedés (d) pontja alatt, és az adatok besorolása ennek logikus kiindulópontja: nem lehet korlátozni az érzékeny adatokhoz való hozzáférést, ha előbb nem határozod meg, hogy mely adatok érzékenyek. Ha tehát a kérdőív az adatok besorolására kérdez rá, akkor ez ugyanahhoz az indokláshoz tartozik, mint hozzáférési szabályzat és az üzleti eszközök kezelése.

Konkrétan az ügyfél általában azt szeretné tudni: van-e besorolásod (például nyilvános, belső, bizalmas, titkos), van-e ez a besorolás dokumentumban rögzítve, és vannak-e szabályok minden szinthez kötve — ki nézheti meg, hogyan tárolódik, szabad-e titkosítva elküldeni. Ha nincs formális besorolásod, de van egy lista az érzékeny rendszerekről és azok hozzáféréséről, akkor ezt gyakran részleges bizonyítékként tudod bemutatni; a válasz ekkor "igen, magyarázattal" marad az "igen" helyett — egy kész "igen". Ha nem rögzítettél semmit, akkor az "nem" a becsületes válasz — egy besorolási séma kitalálása a lista kitöltéséhez nem hoz létre igazolási dokumentumot, ha az ügyfél később rákérdez. Figyelj az adattitkosítással való átfedésre is: ha a besorolás szabályokhoz vezet a legmagasabb kategória titkosításáról, akkor ez hozzátartozik a a titkosításra vonatkozó szabályzathoz.

Ahol ez a szabályozásban található

Az (EU) 2022/2555 irányelvnek a 21. cikk (2) bekezdésének (d) és (i) pontja említi az üzleti eszközkezelést és a hozzáférés-szabályozási politikát, mint a tíz kötelező intézkedés közül kettőt; az adatok besorolása a kapcsolódási pont e kettő között. Az ISO/IEC 27001 ezt kifejezettebben dolgozza ki: az A melléklet külön kategóriát tartalmaz az "information classification" számára az üzleti eszközkezeléshez kapcsolódó ellenőrzési intézkedések szélesebb csoportján belül. Aki már ISO 27001-tanúsított, általában besorolási sémával rendelkezik a managementsystem állandó részeként — lásd még a kérdést arról, hogy az onderneming ISO 27001-gecertificeerd isAz EU Kiberbiztonsági irányelv magyar átültetésének 2026. augusztus 15-én lépő hatályba, és e tíz intézkedést egy külön besorolási cikk hozzáadása nélkül ismétli meg.