dotazník sa pýta, či klasifikujeme údaje podľa citlivosti

Klasifikácia je súčasťou správy majetku, nie samostatná položka

Áno, na to musí existovať politika, ale zriedka stojí sama o sebe. Klasifikácia údajov podľa citlivosti (verejné, interné, dôverné, tajné) patrí k správe podnikového majetku: môžeš aplikovať vhodné ochranné opatrenia len vtedy, keď vieš, ktoré údaje sú dôležitejšie. Zoznammy otázok, ktoré samostatne pýtajú na "classification of information", často testujú, či táto správa siaha ďalej ako zoznam v tabuľke Excel, teda či sú s ňou spojené aj pravidlá: kto smie čo vidieť, ako sa to označuje, čo sa stane s dôvernými súbormi.

Ak si toto nevytvoril(-a) osobitne, potom je "ešte treba určiť" reálne kým si nepreskúmaš, či to už implicitne v tvojej politika prístupu a register majetku stav. Mnoho podnikov klasifikuje neformálne — IT vie, ktoré systémy obsahujú citlivé údaje zákazníkov — bez toho, aby existoval dokument „schéma klasifikácie". Pre túto otázku je to často nedostatočné: otázka žiadateľa chce vidieť schému s úrovňami a príslušnými pravidlami, nie len zámer.

Vzťahuje sa na článok 21 odsek 2 a Prílohu A

V článku 21 odsek 2 smernice NIS2 nie je klasifikácia uvedená ako samostatný bod, ale je zakotvená v opatreniach týkajúcich sa správy aktív a zásad prístupu pod bodmi (i) a (d). ISO/IEC 27001 je v tomto ohľade explicitnejšie: Príloha A obsahuje samostatnú kategóriu kontrolných opatrení na "information classification" s labelovaním a manipuláciou ako samostatnými opatreniami. Ak už pracujete s certifikátom ISO 27001, je pravdepodobné, že je to už pokryté a môžete odkazovať na samotný certifikát — pozri či je tento certifikát prítomný. Ak podliehate Zákonu o kybernetickej bezpečnosti od doby jeho nadobudnutia účinnosti 15. augusta 2026, povinnosť vás zasiahne aj prostredníctvom nizozemskej implementácie článku 21; najskôr si overte, či podnik skutočne podlieha tejto smernici ako subjekt podľa tejto smernice, pretože to určuje, či ide o povinnosť alebo voľbu.