ankieta pyta, czy klasyfikujemy dane ze względu na poufność

Klasyfikacja jest częścią zarządzania zasobami, a nie oddzielną kategorią

Tak, w tym celu musi istnieć polityka, ale rzadko istnieje samodzielnie. Klasyfikacja danych ze względu na wrażliwość (publiczne, wewnętrzne, poufne, tajne) jest częścią zarządzania zasobami przedsiębiorstwa: dopiero gdy wiadomo, które dane mają większą wagę, można zastosować odpowiednią ochronę. Listy kontrolne, które osobno pytają o "classification of information", często sprawdzają, czy zarządzanie to obejmuje coś więcej niż listę w pliku Excel, czyli czy istnieją też reguły: kto może co widzieć, jak się to etykietuje, co się dzieje z plikami poufnymi.

Jeśli tego nie wyodrębnisz osobno, to "do ustalenia" jest realistyczne, dopóki nie sprawdzisz, czy już implicite zawarte jest w polityce dostępu i rejestrze zasobów Wiele przedsiębiorstw klasyfikuje nieformalnie — dział IT wie, które systemy zawierają wrażliwe dane klientów — bez istnienia dokumentu "schemat klasyfikacji". Dla tego pytania często to nie wystarczy: pytający chce widzieć schemat z poziomami i związanymi z nimi regułami, nie tylko intencję.

Można to powiązać z artykułem 21 ust. 2 i Załącznikiem A

W artykule 21 ust. 2 dyrektywy NIS2 klasyfikacja nie jest wymieniona jako oddzielny punkt, ale jest wpleciona w środki dotyczące zarządzania zasobami i polityki dostępu w punkcie (i) i (d). ISO/IEC 27001 jest bardziej wyraźny: Załącznik A zawiera oddzielną kategorię środków kontroli dotyczących "information classification", z etykietowaniem i postępowaniem jako oddzielne kontrole. Jeśli już posiadasz certyfikat ISO 27001, to jest to prawdopodobnie już objęte i możesz odwołać się do samego certyfikatu — zobacz, czy certyfikat jest dostępny. Jeśli podlegasz ustawie o cyberbezpieczeństwie od chwili jej wejścia w życie 15 sierpnia 2026 r., ten sam wymóg obowiązuje poprzez polskie wdrożenie artykułu 21; najpierw sprawdź, czy przedsiębiorstwo faktycznie kwalifikuje się jako podmiot podlegający tej dyrektywie, ponieważ to określa, czy jest to wymóg czy wybór.