chestionar întreabă despre clasificarea datelor ce trebuie să completez

Clasificarea datelor sensibile: nu există o căsuță separată în articolul 21

Aceasta se încadrează în măsura de politică de acces și mijloace de afaceri din articolul 21 alineatul 2 NIS2, nu sub o cerință separată. Directiva menționează "asset management" și politica de acces sub punctul (d) al celor zece măsuri, iar clasificarea datelor este punctul de plecare logic pentru aceasta: nu poți restricționa accesul la date sensibile dacă nu ai stabilit mai întâi care sunt datele sensibile. Dacă chestionarul întreabă despre clasificare, aceasta se încadrează în aceeași justificare ca și politica de acces. politica de acces și gestiunea activelor de afaceri.

În practică, clientul dorește de obicei să știe: ai o împărțire (de exemplu, public, intern, confidențial, secret), această împărțire este documentată, iar sunt reguli asociate fiecărui nivel — cine poate să o vadă, cum este stocată, poate fi trimisă criptată. Dacă nu ai o clasificare formală dar ai o listă cu sisteme sensibile și cine are acces la acestea, poți prezenta adesea aceasta ca dovadă parțială; răspunsul rămâne atunci "da, cu explicație" în loc de un "da" gata-făcut. Dacă nu ai documentat nimic, atunci "nu" este răspunsul onest — inventarea unui schema de clasificare pentru a completa chestionarul nu furnizează un document justificativ dacă clientul îți va cere vreodată. Atenție și la suprapunere cu criptarea: dacă clasificarea conduce la reguli despre criptarea categoriei superioare, aceasta se încadrează în politica privind criptografia.

Unde aceasta este în reglementări

Articolul 21 alineat 2 literele (d) și (i) din Directiva (UE) 2022/2555 numesc gestionarea resurselor și politica de control al accesului ca două dintre cele zece măsuri obligatorii; clasificarea datelor este punctul de conexiune între acestea două. ISO/IEC 27001 elaborează aceasta mai explicit: Anexa A prevede o categorie separată pentru "information classification" în cadrul grupului mai larg de măsuri de control pentru gestionarea resurselor. Cine este deja certificat ISO 27001, de obicei are un sistem de clasificare ca parte fixă a sistemului de management — vezi și întrebarea dacă întreprinderea este certificată ISO 27001. Legea privind securitatea cibernetică, transpunerea neerlandeză a NIS2, intră în vigoare pe 15 august 2026 și reia aceste zece măsuri fără a le completa cu un articol de clasificare separat.