questionário pergunta sobre classificação de dados o que devo preencher

Classificação de dados sensíveis: sem caixa separada no artigo 21

Isto enquadra-se na medida de política de acesso e ativos da Seção 21(2) da Diretiva NIS2, não sob um requisito separado. A diretiva menciona "gestão de ativos" e política de acesso sob o ponto (d) dos dez medidas, e a classificação de dados é o ponto de partida lógico: não se pode restringir o acesso a dados sensíveis se não se tiver primeiro estabelecido quais dados são sensíveis. Se o questionário pergunta sobre classificação, então isso pertence ao mesmo fundamento que a política de acesso e a gestão de ativos.

Concretamente, o cliente geralmente quer saber: tem uma classificação (por exemplo, público, interno, confidencial, secreto), essa classificação está documentada, e existem regras associadas a cada nível — quem pode visualizá-lo, como é armazenado, pode ser enviado criptografado. Se não tem uma classificação formal mas tem uma lista de sistemas sensíveis e quem tem acesso a eles, muitas vezes pode apresentar isso como prova parcial; a resposta fica então "sim, com esclarecimento" em vez de um "sim" pronto. Se não documentou nada, então "não" é a resposta honesta — inventar um esquema de classificação para preencher a lista não fornece um documento de prova se o cliente lhe pedir mais tarde. Atente também à sobreposição com encriptação: se a classificação leva a regras sobre encriptação da categoria mais elevada, isso pertence a a política sobre criptografia.

Onde isto está na regulamentação

O artigo 21(2)(d) e (i) da Diretiva (EU) 2022/2555 mencionam gestão de ativos e política de controlo de acesso como duas das dez medidas obrigatórias; a classificação de dados é o ponto de ligação entre as duas. A ISO/IEC 27001 desenvolve isto de forma mais explícita: o Anexo A tem uma categoria separada para "classificação de informações" dentro do grupo mais amplo de medidas de controlo de ativos. Quem já está certificado pela ISO 27001 tem geralmente um esquema de classificação como parte fixa do sistema de gestão — ver também a pergunta se a organização possui certificação ISO 27001. A Lei de Cibersegurança, a transposição holandesa da NIS2, entra em vigor em 15 de agosto de 2026 e repete estas dez medidas sem as complementar com um artigo de classificação separado.