questionário quer saber se classificamos dados por sensibilidade

A classificação de dados faz parte da política de acesso e gestão de ativos

Sim, esta é uma questão reconhecível, e geralmente a resposta é que a classificação de dados por sensibilidade existe como parte de uma política mais ampla, não como um documento isolado. Nos termos da NIS2, isso se enquadra nas medidas de gestão de ativos e política de acesso: saber quais dados você tem, onde estão e quem pode acessá-los. Sem classificação, a política de acesso é difícil de justificar — você não pode dizer quem pode acessar "dados sensíveis" se nunca documentou o que isso significa. As listas de verificação que perguntam sobre classificação geralmente esperam uma resposta breve sobre níveis (por exemplo, público, interno, confidencial, estritamente confidencial) e sobre quem atribui esses níveis.

Se você não documentou isso, então "não" é a resposta honesta, e isso não é um problema em si para a lista de verificação. Muitos fornecedores menores trabalham informalmente: os dados são distinguidos, mas não segundo um esquema escrito. Nesse caso, é melhor responder "não" do que inventar uma classificação que não existe. Este tópico está fortemente relacionado com a política de acesso e a gestão de ativos — se já houver uma resposta lá, é provável que a classificação esteja implícita e que você possa complementar essa resposta em vez de reconstruir do zero. Também é relevante se existe política sobre criptografia e encriptação porque os níveis de classificação geralmente determinam quais dados serão encriptados.

Onde isso está especificamente: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona gestão de ativos e controlo de acesso como duas das dez medidas obrigatórias; a classificação de dados é a implementação prática disso. Na ISO/IEC 27001 Anexo A existem medidas de controlo explícitas para classificação de informações e etiquetagem de ativos — este é o local mais direto quando um cliente pede uma referência normativa. A Lei de Cibersegurança, que transpõe a diretiva nos Países Baixos e entra em vigor em 15 de agosto de 2026, segue a mesma estrutura de medidas.