de spørger, om vores forretningsnetværk er opdelt i segmenter

Netværkssegmentering er en del af adgangskontrolpolitikken, ikke kryptering

Segmentering er i praksis normalt placeret under adgangskontroltiltag og aktivstyring snarere end under en separat overskrift. Spørgsmålet tester, om I har opdelt netværket i zoner — for eksempel kontorautomation, produktionsmiljø, gæstenetværk og OT adskilt fra hinanden — således at en inficering i ét segment ikke automatisk spredes til det anden. Konkret bevis er et netværksdiagram med VLAN'er eller subnetter, firewallregler der begrænser trafikken mellem segmenter, og en kort forklaring af designprincippet (for eksempel "flat network" versus "zone-based"). Hvis det er til stede, er "ja" med det diagram som bevisstykke et holdbart svar.

Hvis segmentering mangler, eller hvis netværket er stort set fladtrykt med kun nogle få VLAN'er for deres skyld, er "nej" med en kort forklaring mere ærligt end et "ja" som ikke holder under revision. Hvis du er i tvivl om jeres eget svar om adgangspolitikken og styringen af virksomhedsressourcer allerede omfatter segmentering — det kombineres ofte i ét svar, fordi aktivopgørelse er grundlaget for hvordan du tegner segmenteringsgrænserne. Det er også relevant, om segmentering specifikt nævnes i jeres politik for risikovurdering, for der underbygges normalt hvorfor bestemte systemer står adskilt.

Hvor dette står blandt de ti foranstaltninger

Netværkssegmentering er ikke et separat punkt i artikel 21, stk. 2 i NIS2-direktivet, men omfattes implicit af tiltag for adgangskontrol (punkt i) og aktivstyring inden for risikostyring (punkt a). I ISO/IEC 27001 bilag A findes det eksplicit under kontrolmål for netværkssikkerhed, hvor segmentering er nævnt som kontroltiltag for at adskille netværk på grundlag af tillidsværdi. Hvis du selv falder ind under cybersikkerhedsloven som en enhed der falder ind under NIS2-direktivet eller den nationale implementering så er segmentering normalt en del af den risikovurdering, som du alligevel skal dokumentere.