enkäten vill veta om vi klassificerar data efter känslighet

Klassificering av data faller under åtkomstpolicy och tillgångshantering

Ja, det här är en känd fråga, och oftast är svaret att klassificeringen av data efter känslighet finns som en del av en bredare policy, inte som ett separat dokument. I NIS2-termer faller detta under åtgärderna för tillgångshantering och åtkomstpolicy: att veta vilka data du har, var de finns och vem som får åtkomst. Utan klassificering är det nämligen svårt att motivera en åtkomstpolicy — du kan inte säga vem som får åtkomst till "känslig data" om du aldrig har dokumenterat vad det omfattar. Frågelistor som frågar om klassificering förväntar vanligtvis ett kort svar om nivåer (till exempel offentlig, intern, konfidentiell, strikt konfidentiell) och om vem som tilldelar dessa nivåer.

Om du inte har dokumenterat detta är "nej" det ärliga svaret, och det är inte i sig något problem för frågelistan. Många mindre leverantörer arbetar informellt: data särskiljs väl, men inte enligt ett skriftligt schema. Säg då hellre "nej" än att hitta på en klassificering som inte finns. Detta ämne är nära kopplat till åtkomstpolicy och hantering av företagstillgångar — om det redan finns ett svar där är det troligt att klassificering implicit finns där och att du kan fylla i det svaret istället för att bygga upp det på nytt. Det är också relevant om det finns policy för kryptering och kryptering eftersom klassificeringsnivåer ofta avgör vilken data som krypteras.

Var detta exakt står: artikel 21 stycke 2 och Annex A

Artikel 21 stycke 2 i NIS2-direktivet nämner tillgångshantering och åtkomstkontroll som två av tio obligatoriska åtgärder; klassificering av data är den praktiska genomförandet av detta. I ISO/IEC 27001 Annex A finns explicita kontrollåtgärder för klassificering av information och för märkning av tillgångar — det är den mest direkta källan om en kund frågar efter en normreferens. Cybersäkerhetslag, som implementerar direktivet i Sverige och träder i kraft den 15 augusti 2026, följer samma indelning av åtgärder.