A kérdőív tudni akarja, hogy az adatokat érzékenység szerint osztályozzuk-e

Az adatok besorolása a hozzáférési politika és az eszközkezelés alá tartozik

Igen, ez egy felismerhető kérdés, és általában az a válasz, hogy az adatok érzékenysége szerinti besorolása egy szélesebb politika részeként létezik, nem pedig külön dokumentumként. A NIS2 szempontjából ez az eszközkezelés és a hozzáférési politika intézkedései alá tartozik: tudni, milyen adatokkal rendelkezel, hol találhatók, és ki férhet hozzájuk. Besorolás nélkül ugyanis nehéz alátámasztani a hozzáférési politikát — nem mondhatod meg, ki férhet az "érzékeny adatokhoz", ha soha nem határozted meg, mi tartozik alá. Az olyan kérdőívek, amelyek besorolást kérnek, általában rövid választ várnak a szintekről (például nyilvános, belső, bizalmas, szigorúan bizalmas) és arról, hogy ki rendel ezeket a szinteket.

Ha ezt nem dokumentáltad, akkor az "nem" az őszinte válasz, és önmagában ez nem jelent problémát a kérdőív szempontjából. Sok kisebb szállító informálisan működik: az adatok megkülönböztetésre kerülnek, de nem írásos séma szerint. Ebben az esetben inkább válassz "nem"-et, minthogy összetalálnál egy besorolást, amely nem létezik. Ez a téma szorosan kapcsolódik a hozzáférési szabályzat és az üzleti eszközök kezelése — ha már van rá válasz, nagy az esélye annak, hogy a besorolás implicit módon ott van, és ezt a választ kiegészítheted az újraépítés helyett. Szintén fontos, hogy van-e titkosítási és titkosítási politika , mert a besorolási szintek gyakran meghatározzák, mely adatokat titkosítják.

Pontosan hol található: a 21. cikk 2. bekezdés és az A. melléklet

A NIS2-irányelv 21. cikkének 2. bekezdése az eszközkezelést és a hozzáférés-ellenőrzést említi a tíz kötelező intézmény közül kettőként; az adatok besorolása ennek gyakorlati megvalósítása. Az ISO/IEC 27001 A. mellékletében explicit ellenőrzési intézmények vannak az információ besorolásához és az eszközök felcímkézéséhez — ez a legközvetlenebb hivatkozás, ha az ügyfél normareferenciát kér. A Cyberbeveiligési törvény, amely az irányelvet Hollandiában transpozálja és 2026. augusztus 15-én lép hatályba, ugyanez az intézmények szerinti beosztást követi.