jautājumā tiek vaicāts, vai mēs datus klasificējam pēc jutības

Datu klasificēšana ietilpst piekļuves politikā un aktīvu pārvaldē

Jā, šis ir atpazīstams jautājums, un parasti atbilde ir tāda, ka datu klasificēšana pēc jutīguma pastāv kā plašākas politikas daļa, nevis kā atsevišķs dokuments. NIS2 izteiksmē tas ietilpst aktīvu pārvaldības un piekļuves politikas pasākumos: zināt, kādi dati jums ir, kur tie atrodas un kuriem tiem var piekļūt. Bez klasificēšanas piekļuves politiku ir grūti pamatot — jūs nevarat teikt, kuriem "sensitīvajiem datiem" var piekļūt, ja neesat nekad noteikuši, kas to ir. Jautājumu saraksti, kas jautā par klasificēšanu, parasti sagaida īsu atbildi par līmeņiem (piemēram, publiski, iekšēji, konfidenciāli, stingri konfidenciāli) un par to, kurš šos līmeņus piešķir.

Ja tu to nesi fiksējis, tad "nē" ir godīga atbilde, un tas pats par sevi nav problēma jautājumu sarakstam. Daudzi mazāki piegādātāji darbojas neformāli: dati tiek šķirti, bet ne pēc rakstītas shēmas. Tad drīzāk ieraksti "nē" nekā izdomā klasificēšanu, kas nepastāv. Šis temats cieši saistīts ar piekļuves politiku un uzņēmuma līdzekļu pārvaldi — ja tur jau ir atbilde, ir liela iespēja, ka klasificēšana tajā ir netieši iekļauta un ka jūs varat papildināt šo atbildi, nevis to no jauna izveidot. Nozīmīgi ir arī tas, vai kriptografijas un šifrēšanas politika ir tāpēc, ka klasifikācijas līmeņi bieži nosaka, kuri dati tiek šifrēti.

Kur tas precīzi atrodas: 21. panta 2. punkts un A pielikums

NIS2 direktīvas 21. panta 2. punkts min aktīvu pārvaldību un piekļuves kontroli kā divas no desmit obligātajiem pasākumiem; datu klasifikācija ir to praktiskā ieviešana. ISO/IEC 27001 A pielikumā ir skaidri noteikti kontroles pasākumi informācijas klasifikācijai un aktīvu marķēšanai — tā ir tiešākā atsauces vieta, ja klients prasa normas atsauci. Kiberdrošības likums, kas direktīvu īsteno Nīderlandē un stājas spēkā 2026. gada 15. augustā, seko tai pašai pasākumu sadalei.