il questionario vuole sapere se classifichiamo i dati in base alla sensibilità

La classificazione dei dati rientra nella politica di accesso e nella gestione delle risorse

Sì, questa è una domanda riconoscibile, e solitamente la risposta è che la classificazione dei dati in base alla sensibilità esiste come parte di una politica più ampia, non come documento isolato. In termini di NIS2, questo rientra nelle misure per la gestione delle risorse e la politica di accesso: sapere quali dati hai, dove si trovano e chi può accedervi. Senza classificazione è difficile fondare una politica di accesso — non puoi dire chi può accedere ai "dati sensibili" se non hai mai stabilito cosa vi rientra. I questionari che chiedono informazioni sulla classificazione si aspettano solitamente una risposta breve sui livelli (ad esempio pubblico, interno, riservato, strettamente riservato) e su chi assegna questi livelli.

Se non l'hai documentato, allora "no" è la risposta onesta, e non è di per sé un problema per il questionario. Molti fornitori più piccoli operano in modo informale: i dati vengono comunque distinti, ma non secondo uno schema scritto. In questo caso è preferibile rispondere "no" piuttosto che inventare una classificazione che non esiste. Questo argomento è strettamente collegato a la politica di accesso e la gestione dei beni aziendali — se c'è già una risposta lì, è probabile che la classificazione vi sia implicita e che tu possa integrare quella risposta invece di ricostruirla da capo. Rilevante è anche se c'è politica sulla crittografia e la crittografia è, poiché i livelli di classificazione spesso determinano quali dati vengono crittografati.

Dove si trova esattamente: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della direttiva NIS2 nomina la gestione delle risorse e il controllo degli accessi come due delle dieci misure obbligatorie; la classificazione dei dati ne è l'attuazione pratica. In ISO/IEC 27001 Allegato A sono presenti misure di controllo esplicite per la classificazione delle informazioni e l'etichettatura delle risorse — questa è la fonte di riferimento più diretta se un cliente chiede un riferimento normativo. La Legge sulla cibersicurezza, che recepisce la direttiva nei Paesi Bassi e entra in vigore il 15 agosto 2026, segue la stessa struttura di misure.