clientul întreabă cum clasificăm informațiile sensibile, care este răspunsul nostru

Clasificarea datelor sensibile se încadrează în managementul activelor și politica de acces

Această întrebare se referă la măsura pentru bunuri corporale și acces din articolul 21 alineatul 2 NIS2: a ști ce informații aveți, cât de sensibile sunt acestea, și cine are acces la ele. Un schema de clasificare în sine nu este o listă separată în articolul 21 — este implementarea practică prin care puteți susține politica de acces și politica de criptografie. Clienții întreabă de obicei acest lucru pentru a verifica dacă faceți distincție între informații publice, interne, confidențiale și strict confidențiale, și dacă există reguli concrete atașate: cine are dreptul să acceseze, cum se criptează, cât timp se păstrează.

Dacă nu aveți un schema de clasificare formal cu etichete și reguli pentru fiecare nivel, atunci răspunsul onest este "nu" sau "parțial" — nu completați că există deoarece informal faceți totuși distincție între sensibil și nesensibil. Dacă lucrați cu un schema dar nu este implementat peste tot, indicați-o și în acest mod; o politică parțial implementată este diferită de o politică stabilită. Aceasta se conectează direct la politica de acces și gestiunea activelor de afaceri, căci fără clasificare nu se poate justifica bine accesul pe baza sensibilității. Dacă lucrați cu criptarea fișierelor confidențiale, atunci aceasta este dovada pentru politica privind criptografia — conectați acel răspuns în dosar.

Unde apare în directivă și în normă

Articolul 21 alineatul 2 NIS2 menționează "politica privind evaluarea riscurilor și securitatea sistemelor informatice" și "politica și procedurile privind utilizarea criptografiei" ca două dintre cele zece măsuri; clasificarea datelor este legătura dintre acestea, nu un punct autonom. În ISO/IEC 27001 acest lucru este mai explicit: Anexa A conține măsuri de control pentru clasificarea informațiilor și etichetarea activelor pe baza nivelului de sensibilitate. Dacă aveți un certificat ISO, atunci aceasta este imediat dovada cea mai puternică pentru acest răspuns — verificați dacă aceasta se află în dosarul dvs. prin starea certificatului ISO 27001. Legea de securitate cibernetică, transpunerea neerlandeză a NIS2 care intră în vigoare pe 15 august 2026, nu schimbă aceasta: cele zece măsuri se regăsesc nemodificate.