Dataclassificatie is een van de meest onderschatte onderdelen van een ISMS. ISO 27001 vraagt in de 2022-versie expliciet om classificatie (control 5.12) én om labeling van informatie (control 5.13), en de AVG verlangt beveiliging die past bij de gevoeligheid van gegevens. Toch blijft het bij veel MKB-organisaties bij een mooi vierlagen-schema in een beleidsdocument dat niemand in de praktijk gebruikt. En dat is precies waar de auditor doorheen prikt: waar zie ik die labels terug in het dagelijkse werk?
Waarom classificatie de basis is
Classificatie is geen doel op zich, maar de motor onder je andere maatregelen. Zonder te weten welke informatie gevoelig is, kun je toegangsbeheer, encryptie, bewaartermijnen en leveranciersafspraken niet gericht inrichten. Je zou dan alles even zwaar moeten beveiligen — onbetaalbaar — of overal even licht — onverantwoord. Classificatie laat je differentiëren: strenge maatregelen waar het moet, lichte waar het kan. Dat maakt je ISMS zowel veiliger als werkbaarder.
Een werkbaar schema voor het MKB
Houd het simpel. Vier niveaus zijn voor vrijwel elk MKB genoeg; meer niveaus leiden alleen tot twijfel en verkeerde labels.
- Openbaar — mag zonder risico naar buiten (persberichten, vacatureteksten, marketing).
- Intern — niet bedoeld voor buiten, maar geen schade bij uitlekken (interne memo’s, algemene procesbeschrijvingen).
- Vertrouwelijk — schade bij uitlekken (klantdata, contracten, offertes, personeelsdossiers).
- Strikt vertrouwelijk — ernstige schade (bijzondere persoonsgegevens, broncode, toegangssleutels, overnamedossiers).
Definieer per niveau kort wat het betekent, wie toegang mag hebben en welke maatregelen gelden (bijvoorbeeld: strikt vertrouwelijk altijd versleuteld, nooit op privé-apparaten, delen alleen via de beveiligde omgeving). Zo wordt een label meteen een instructie, geen sticker.
Begin bij je belangrijkste gegevens
Probeer niet alles in één keer te classificeren — dat strandt gegarandeerd. Begin met de vijf datastromen die er echt toe doen: klantgegevens, HR- en salarisdata, financiële administratie, contracten en (voor tech-bedrijven) broncode en klantomgevingen. Bepaal per stroom waar die staat, wie erbij kan en welk niveau past. Deze exercitie levert meteen input voor je risicoanalyse en je Verklaring van Toepasselijkheid.
Van beleid naar dagelijks gebruik
Hier valt of staat het. Een classificatiebeleid dat alleen in Word bestaat, is voor de auditor waardeloos. Maak labelen onderdeel van de tools die mensen tóch al gebruiken:
- Microsoft 365 sensitivity labels (of een vergelijkbare oplossing) waarmee gebruikers een document of e-mail met één klik labelen — en waaraan je automatisch maatregelen koppelt, zoals versleuteling of een blokkade op extern delen.
- Automatische classificatie voor patronen die je betrouwbaar kunt detecteren (BSN, IBAN, creditcardnummers), zodat gevoelige documenten ook zonder handmatige actie een label krijgen.
- Een SaaS-matrix: leg vast welke applicatie welk niveau data mag bevatten. Klantdata in een goedgekeurde CRM: prima. Strikt vertrouwelijke data in een gratis notitie-app: niet. Neem die matrix op in je SoA.
Gedrag en training
Labels werken alleen als mensen weten hoe en waarom ze labelen. Dat hoeft geen dagcursus te zijn: een onboarding van tien minuten (“zo label je een document, dit betekenen de niveaus”) plus een korte jaarlijkse opfrisser volstaat meestal. Belangrijker dan de theorie is dat het management het voorbeeld geeft en dat verkeerd labelen bespreekbaar is zonder afrekencultuur — anders labelt iedereen uit onzekerheid alles als “vertrouwelijk” en verliest het schema zijn waarde.
Wat de auditor wil zien
Niet je beleidsdocument, maar bewijs dat classificatie leeft: gelabelde documenten en e-mails in de praktijk, de configuratie van je labels en de gekoppelde maatregelen (screenshots of exports), de SaaS-matrix, en een registratie van incidenten en DLP-meldingen rond verkeerd geclassificeerde data. Een certificerende instelling accepteert geen intentie zonder steekproef — laat dus zien dat je periodiek controleert of labels kloppen en bijstuurt waar nodig.
Veelgemaakte fouten
- Te veel niveaus — leidt tot twijfel en inconsistente labels. Hou het bij vier.
- Beleid zonder tooling — als labelen niet in de dagelijkse tools zit, gebeurt het niet.
- Alles “vertrouwelijk” — overclassificatie maakt je maatregelen onwerkbaar en duur; het schema verliest betekenis.
- Eenmalig invoeren — datastromen veranderen; zonder review veroudert je classificatie.
De reviewcyclus
Plan elk kwartaal een korte evaluatie: hoeveel misclassificatie-incidenten waren er, welke DLP-alerts kwamen binnen, en dekt het schema nog je belangrijkste data? Bespreek de trend in je management review. Zo laat je aan bestuur én auditor zien dat classificatie een levend onderdeel van je ISMS is — precies de PDCA-cyclus die ISO 27001 verwacht.
Aan de slag
Begin klein: definieer vier niveaus, classificeer je top vijf datastromen en zet labeling aan in je e-mail- en documentomgeving. Dat is voor de meeste MKB-audits al een solide, aantoonbare basis. Wil je weten hoe ver je organisatie staat? Bekijk het ISO 27001-stappenplan of doe de gratis readiness-scan.