vprašalnik želi vedeti, ali razvrščamo podatke glede na občutljivost

Klasifikacija podatkov spada pod politiko dostopa in upravljanje sredstev

Da, to je prepoznavno vprašanje, in običajno je odgovor, da obstaja razvrščanje podatkov glede na občutljivost kot del širše politike, ne kot samostojen dokument. V smislu NIS2 to spada pod ukrepe za upravljanje sredstev in politiko dostopa: vedeti, katere podatke imaš, kje so, in kdo jih ima dostop. Brez klasifikacije je politika dostopa namreč težko utemeljena — ne moreš reči, kdo ima dostop do »občutljivih podatkov«, če nikoli nisi определил, kaj to vključuje. Vprašalniki, ki sprašujejo o klasifikaciji, običajno pričakujejo kratek odgovor o nivojih (na primer javno, interno, zaupno, strogo zaupno) in o tem, kdo te nivoje dodeljuje.

Če tega nisi dokumentiral, je »ne« pošten odgovor, in to samo po sebi ni problem za vprašalnik. Številni manjši dobavitelji delujejo neformalno: podatki se sicer razlikujejo, vendar ne glede na napisano shemo. Potem raje zapiši »ne« kot da izmisliš razvrščanje, ki ne obstaja. Ta tema je tesno povezana s politiko dostopa in upravljanje sredstev podjetja — če tam že obstaja odgovor, je velika verjetnost, da je klasifikacija tam implicitno obstoječa in da lahko ta odgovor dopolniš namesto da ga znova gradbiš. Prav tako je relevant, ali obstaja politike o kriptografiji in šifriranju je, ker nivoji klasifikacije pogosto določajo, kateri podatki se šifrirajo.

Kje je to natančno: člen 21 odstavek 2 in Priloga A

Člen 21 odstavek 2 direktive NIS2 navaja upravljanje sredstev in nadzor dostopa kot dva od desetih obveznih ukrepov; klasifikacija podatkov je njihova praktična izvedba. V ISO/IEC 27001 Prilogo A so navedeni izrecni nadzorni ukrepi za klasifikacijo informacij in označevanje sredstev — to je najbolj neposredna lokacija, če stranko vpraša o normativi referenci. Zakon o kibernetski varnosti, ki direktivo v Sloveniji prenaša in začne veljati 15. avgusta 2026, sledi istemu razvrščanju ukrepov.