vprašalnik sprašuje, ali klasificiramo podatke po občutljivosti

Razvrščanje je del upravljanja sredstev, ne ločena kategorija

Ja, zanj mora obstajati politika, vendar le redko obstaja sama po sebi. Razvrščanje podatkov glede na občutljivost (javno, interno, zaupno, tajno) spada v upravljanje poslovnih sredstev: ustrezno zaščito lahko uporabite le, če veste, kateri podatki imajo večji pomen. Seznami vprašanj, ki ločeno sprašujejo o »razvrščanju informacij«, pogosto preverjajo, ali to upravljanje presega Seznam v datoteki Excel, torej ali so nanjo vezana tudi pravila: kdo sme kaj videti, kako je označeno, kaj se zgodi s zaupnimi datotekami.

Če tega niste ločeno napisali, je »še je treba določiti« realno, dokler ne preverite, ali je že implicitno vključeno v vašo politiko dostopa in register sredstev V številnih podjetjih podatke razvrščajo neformalno — IT ve, kateri sistemi vsebujejo občutljive podatke o strankah — vendar datoteka »shema razvrščanja« ne obstaja. Za to vprašanje to pogosto ne zadošča: vprašani želi videti shemo s stopnjami in pripadajočimi pravili, ne le namero.

Mogoče je slediti členu 21(2) in Prilogo A

V členu 21(2) Direktive NIS2 razvrščanje ne nastopa kot ločena točka, ampak je prepleteno v ukrepe upravljanja sredstev in politike dostopa pod točko (i) in (d). ISO/IEC 27001 je bolj ekspliciten: Priloga A ima posebno kategorijo kontrolnih ukrepov za »razvrščanje informacij«, z označevanjem in rokovanje kot ločena nadzora. Če že delujete s certifikatom ISO 27001, je to verjetno že zajeto in lahko navedete certifikat sam — glej ali je ta certifikat prisotenOd 15. avgusta 2026, ko stopi v veljavo Zakon o kibernetski varnosti, enaka obveznost teče prek nizozemske prenosa člena 21; najprej preverite, ali podjetje res spada v subjekt pod to direktivo, saj to odloča, ali je to obveznost ali izbira.