Seznam vprašanj vprašuje o klasifikaciji podatkov, kaj moram izpolniti

Klasifikacija občutljivih podatkov: ni posebnega polja v členu 21

To spada pod ukrep za politiko dostopa in poslovnih sredstev iz člena 21(2) Direktive (EU) 2022/2555, ne pod ločeno zahtevo. Direktiva omenja »upravljanje premoženja« in politiko dostopa pod točko (d) desetih ukrepov, in klasifikacija podatkov je tam logična izhodišča: ne morete omejiti dostopa do občutljivih podatkov, če prej niste opredelili, kateri podatki so občutljivi. Če torej vprašalnik sprašuje o klasifikaciji, to sodi pod isto utemeljitev kot politiko dostopa in upravljanje sredstev podjetja.

Konkretno odjemalec praviloma želi vedeti: ali imate razdelitev (na primer javno, interno, zaupno, tajno), ali je ta razdelitev dokumentirana, in ali so pravila povezana z vsako ravnjo — kdo jo sme videti, kako se shrani, ali jo je mogoče šifrirati in poslati. Če nimate formalne klasifikacije, a imate seznam občutljivih sistemov in kdo ima dostop do njih, to lahko pogosto predstavite kot delno dokaz; odgovor ostane »da, s pojasnilom« namesto pripravljenega »da«. Če niste nič dokumentirali, je »ne« pošten odgovor — izmišljanje klasifikacijske sheme za izpolnitev vprašalnika ne daje dokazila, če vas odjemalec kdaj koli vprašal. Pazite tudi na prekrivanje s šifriranjem: če klasifikacija vodi do pravil o šifriranju najvišje kategorije, to sodi pod politiko o kriptografiji.

Kje je to v predpisih

Člen 21(2) pododstavek (d) in (i) Direktive (EU) 2022/2555 omenjata upravljanje poslovnih sredstev in politiko nadzora dostopa kot dva od desetih obveznih ukrepov; klasifikacija podatkov je povezava med tema dvema. ISO/IEC 27001 to razlaga bolj izrecno: Priloga A ima posebno kategorijo za »razvrščanje informacij« v širši skupini nadzornih ukrepov za poslovne sredsteve. Kdor je že ISO 27001 certificiran, ima torej praviloma klasifikacijsko shemo kot stalen del sistema upravljanja — glejte tudi vprašanje je podjetje certificirano po ISO 27001«. Zakon o kibernetski varnosti, slovenski prevod Direktive NIS2, stopi v veljavo 15. avgusta 2026 in te deset ukrepov ponavlja brez da bi jih dopolnil z ločenim članom o klasifikaciji.