Dotazník sa pýta na klasifikáciu údajov, čo mám vyplniť

Klasifikácia citlivých údajov: nie je samostatná položka v článku 21

Toto spadá pod opatrenie na kontrolu prístupu a správu podnikových prostriedkov z článku 21 ods. 2 NIS2, nie pod samostatný požiadavok. Smernica spomína "asset management" a kontrolu prístupu pod bodom (d) desiatich opatrení, a klasifikácia údajov je logickým východiskom: nemôžete obmedziť prístup k citlivým údajom, ak ste najskôr nezaviedli jasné rozlíšenie, ktoré údaje sú citlivé. Ak sa v zozname otázok pýtajú na klasifikáciu, tá patrí k rovnakému odôvodneniu ako politike prístupu a správe podnikových aktív.

Konkrétne zvyčajne klient chce vedieť: máte rozdelenie (napríklad verejný, interný, dôverný, tajný), je toto rozdelenie zakotvené v dokumente, a sú k jednotlivým úrovniam viazané pravidlá — kto to môže vidieť, ako sa to ukladá, je možné to posielať šifrované. Ak nemáte formálnu klasifikáciu, ale máte zoznam citlivých systémov a záznam o tom, kto k nim má prístup, zvyčajne to môžete predložiť ako čiastočný dôkaz; odpoveď zostáva potom "áno, s vysvetlením" namiesto hotového "áno". Ak ste nič nezaviedli, potom je "nie" čestná odpoveď — vymyslenie klasifikačného schémy len na vyplnenie zoznamu neposkytne dôkazný dokument, ak sa ho klient niekedy spýta. Dbajte aj na prekryvanie sa so šifrovaním: ak klasifikácia vedie k pravidlám na šifrovanie najvyššej kategórie, to patrí k politiku o kryptografii.

Kde sa to v právnych predpisoch nachádza

Článok 21 ods. 2 písm. (d) a (i) Smernice (EÚ) 2022/2555 spomínajú správu podnikových prostriedkov a kontrolu prístupu ako dve z desiatich povinných opatrení; klasifikácia údajov je spojovacím bodom medzi nimi. ISO/IEC 27001 to formuluje explicitnejšie: Príloha A obsahuje samostatnú kategóriu pre "information classification" v rámci širšej skupiny kontrolných opatrení na správu podnikových prostriedkov. Kto je už certifikovaný podľa ISO 27001, zvyčajne má klasifikačné schéma ako pevnú súčasť svojho systému riadenia — pozri tiež otázku, či podnik je certifikovaný podľa ISO 27001. Zákon o kybernetickej bezpečnosti, slovenská úprava NIS2, nadobúda účinnosť 15. augusta 2026 a bez doplnenia ich zopakúva týchto desať opatrení bez samostatného článku o klasifikácii.