o cliente pergunta como classificamos informações sensíveis, qual é a nossa resposta

A classificação de dados sensíveis está incluída na gestão de ativos e política de acesso

Esta pergunta está relacionada com a medida relativa a ativos empresariais e acesso do artigo 21.º, n.º 2 da NIS2: saber que informações tem, quão sensíveis são e quem pode aceder. Um esquema de classificação em si não é uma lista separada no artigo 21.º — é a implementação prática com a qual pode fundamentar a sua política de acesso e política de criptografia. Os clientes colocam esta questão normalmente para avaliar se faz distinção entre informações públicas, internas, confidenciais e estritamente confidenciais, e se existem regras concretas para cada nível: quem pode consultar, como é criptografado, quanto tempo é conservado.

Se não tem um esquema de classificação formal com rótulos e regras por nível, então a resposta honesta é "não" ou "parcialmente" — não preencha que existe porque informalmente faz distinção entre sensível e não-sensível. Se trabalha com um esquema mas este não foi implementado em toda a parte, indique também dessa forma; uma política parcialmente implementada é algo diferente de uma política estabelecida. Isto está diretamente ligado a a política de acesso e a gestão de ativospois sem classificação o acesso baseado na sensibilidade não pode ser bem fundamentado. Se trabalha com criptografia de ficheiros confidenciais, então esse é o comprovativo para a política sobre criptografia — associe essa resposta no seu dossier.

Onde consta na directiva e na norma

O artigo 21.º, n.º 2 da NIS2 menciona "política relativa à avaliação de riscos e à segurança dos sistemas de informação" e "política e procedimentos relativos à utilização de criptografia" como duas de dez medidas; a classificação de dados é a ligação entre elas, não um ponto autónomo. Na ISO/IEC 27001 isto está mais explícito: o Anexo A contém medidas de controlo para classificação de informações e rotulagem de ativos de acordo com o nível de sensibilidade. Se tem um certificado ISO, esse é imediatamente o comprovativo mais forte para esta resposta — verifique se consta no seu dossier através de o estado do certificado ISO 27001. A Lei de Cibersegurança, a transposição holandesa da NIS2 que entra em vigor em 15 de agosto de 2026, não altera isto: as dez medidas voltam a aparecer sem modificações.