la lista di domande chiede la classificazione dei dati cosa devo compilare

Classificazione dei dati sensibili: nessuna voce separata nell'articolo 21

Questo rientra nella misura relativa alla politica di accesso e alle risorse aziendali di cui all'articolo 21 paragrafo 2 NIS2, non in un requisito separato. La direttiva menziona "asset management" e politica di accesso al punto (d) dei dieci provvedimenti, e la classificazione dei dati è il punto di partenza logico: non puoi limitare l'accesso ai dati sensibili se prima non hai stabilito quali dati sono sensibili. Se il questionario chiede quindi informazioni sulla classificazione, questo rientra nella stessa argomentazione di la politica di accesso e la gestione dei beni aziendali.

In concreto il cliente di solito vuole sapere: hai una classificazione (ad esempio pubblica, interna, riservata, segreta), è documentata, e ci sono regole collegate a ogni livello — chi può consultarla, come viene archiviata, può essere trasmessa in forma crittografata. Se non hai una classificazione formale ma hai un elenco dei sistemi sensibili e di chi vi ha accesso, spesso puoi presentarlo come prova parziale; la risposta rimane allora "sì, con spiegazione" invece di un "sì" già pronto. Se non hai nulla documentato, allora "no" è la risposta onesta — inventare uno schema di classificazione per compilare l'elenco non produce un documento se il cliente te lo chiede più tardi. Presta attenzione anche al sovrapporsi con la crittografia: se la classificazione porta a regole sulla cifratura della categoria più elevata, questo rientra in la politica sulla crittografia.

Dove si trova questo nella normativa

L'articolo 21 paragrafo 2 lettera (d) e (i) della Direttiva (UE) 2022/2555 menzionano la gestione delle risorse aziendali e la politica di controllo dell'accesso come due dei dieci provvedimenti obbligatori; la classificazione dei dati è il punto di collegamento tra i due. ISO/IEC 27001 lo sviluppa in modo più esplicito: l'Allegato A contiene una categoria separata per "information classification" nel gruppo più ampio di misure di controllo della gestione delle risorse aziendali. Chi è già certificato ISO 27001 ha quindi di solito uno schema di classificazione come parte fissa del sistema di gestione — vedere anche la domanda se l'impresa è certificata ISO 27001. La Legge sulla cibersicurezza, il recepimento olandese della NIS2, entra in vigore il 15 agosto 2026 e ripete questi dieci provvedimenti senza integrarli con un articolo di classificazione separato.