o questionário pergunta se classificamos dados por sensibilidade

A classificação faz parte da gestão de ativos, não é uma caixa separada

Sim, para isso deve existir uma política, mas raramente existe isoladamente. A classificação de dados por sensibilidade (público, interno, confidencial, secreto) faz parte da gestão de bens da empresa: só é possível aplicar proteção adequada se souber quais dados têm maior peso. As listas de verificação que perguntam isoladamente sobre "classification of information" geralmente testam se essa gestão vai além de uma lista em um arquivo Excel, ou seja, se também existem regras associadas: quem pode ver o quê, como é rotulado, o que acontece com os arquivos confidenciais.

Se não tiver isso documentado separadamente, então "ainda a determinar" é realista até verificar se já está implícito no seu política de acesso e registro de ativos está. Muitas empresas classificam informalmente — a TI sabe quais sistemas contêm dados sensíveis de clientes — sem que exista um documento "esquema de classificação". Para essa pergunta, isso geralmente não é suficiente: quem pergunta quer ver um esquema com níveis e regras associadas, não apenas uma intenção.

Rastreável até artigo 21.º parágrafo 2.º e Anexo A

No artigo 21.º parágrafo 2.º da Diretiva NIS2, a classificação não aparece como uma letra separada, mas está integrada nas medidas sobre gestão de ativos e política de acesso sob os pontos (i) e (d). A ISO/IEC 27001 é mais explícita: o Anexo A tem uma categoria separada de medidas de controlo para "information classification", com rotulagem e tratamento como controlos separados. Se já trabalha com um certificado ISO 27001, isso provavelmente já está coberto e pode referir-se ao próprio certificado — consulte se esse certificado está presente. Se está sujeito à Lei de Cibersegurança assim que entrar em vigor em 15 de agosto de 2026, a mesma obrigação segue pela transposição holandesa do artigo 21.º; verifique primeiro se a empresa é realmente entidade sob essa diretivapois isso determina se esta é uma obrigação ou uma escolha.