wat vul ik in bij de vraag over dataclassificatie

Dataclassificatie hoort onder toegangsbeleid, niet onder cryptografie

Dataclassificatie valt in de vragenlijst meestal onder het bredere blok toegangsbeleid en beheer van bedrijfsmiddelen — niet onder het blok versleuteling, waar sommige invullers hem per ongeluk plaatsen. De vraag test of je gegevens indeelt naar gevoeligheid (bijvoorbeeld openbaar, intern, vertrouwelijk, geheim) en of aan die indeling ook echt andere toegangsrechten en verwerkingsregels hangen. Een label zonder consequenties telt niet als classificatie.

Heb je geen classificatieschema, dan is "nee" het eerlijke antwoord — niet "n.v.t.". Sommige klanten accepteren als tussenstap een informele indeling, zolang je kunt laten zien welke systemen welke gegevens bevatten en wie daar toegang toe heeft. Dat raakt direct de vraag is het toegangsbeleid vastgelegd, inclusief het beheer van bedrijfsmiddelen: zonder een actueel overzicht van bedrijfsmiddelen (asset inventory) is classificeren sowieso lastig te onderbouwen. Heb je wél een schema maar geen bewijsstuk, upload dan het beleidsdocument of het classificatieoverzicht zelf; een mondelinge afspraak volstaat niet als bewijs.

Waar dit vandaan komt: Annex A en artikel 21 lid 2

ISO/IEC 27001 Annex A noemt classificatie van informatie als beheersmaatregel, gekoppeld aan de bredere eis over beheer van bedrijfsmiddelen (asset management). NIS2, artikel 21 lid 2, noemt dataclassificatie niet als apart woord, maar de tien maatregelen uit dat lid omvatten toegangsbeleid en beveiliging van informatiesystemen als geheel — classificatie is daarbinnen het instrument om te bepalen welk beschermingsniveau waar nodig is. Ben je zelf een entiteit onder de Cyberbeveiligingswet, dan is dit een van de onderdelen die een toezichthouder concreet kan navragen; check dat via valt de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan. Heb je een ISO 27001-certificaat, dan ligt classificatie meestal al vast in het toepassingsgebied van je informatiebeveiligingssysteem en kun je daar direct naar verwijzen.