Fragebogen fragt, ob unser Netzwerk segmentiert ist, was bedeutet das

Netwerksegmentierung fällt unter Zugriffskontrolle, nicht unter eine isolierte Maßnahme

Netwerksegmentierung selbst ist nicht als separates Wort in Artikel 21 Absatz 2 der NIS2 enthalten. Sie fällt unter die umfassendere Maßnahme Zugriffskontrolle und Sicherung von Systemen — dieselbe Kategorie, in die auch der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen fällt. In der Praxis fragt ein Kunde damit: Kann jemand, der sich ins Gastnetzwerk einloggt oder über einen gehackten Drucker Zugriff erhält, einfach so in die Produktionsumgebung oder die HR-Systeme gelangen? Segmentierung bedeutet, dass das Netzwerk in getrennte Zonen aufgeteilt ist, mit eigenen Zugriffsregeln zwischen diesen Zonen.

Wenn es Segmentierung gibt, ist das Beweismittel meist ein Netzwerkschema oder eine kurze Beschreibung der Zonen (Büro, Produktion, Gäste, DMZ) und der Regeln zwischen diesen Zonen — oft festgehalten in einer Firewall-Konfiguration oder in der Zugriffskontrollrichtlinie selbst. Wenn es keine formale Segmentierung gibt, aber eine praktische Trennung — beispielsweise ein separates WLAN-Netzwerk für Gäste ohne Zugriff auf interne Systeme — dann ist das oft schon ausreichend, um die Frage mit einer Erläuterung zu beantworten, statt mit einem bloßen "nein". Unsicherheit besteht vor allem bei kleineren Netzwerken ohne VLANs oder Zonen: dann ist die Antwort normalerweise "nein" oder "teilweise", und das ist kein Problem, dies so auszufüllen.

Zurückzuführen auf Anlage A von ISO 27001 und Artikel 21 Absatz 2 NIS2

Wer ISO 27001 zertifiziert ist, hat Segmentierung normalerweise bereits durch die Kontrollmaßnahmen in Anlage A zur Netzsicherheit umgesetzt; ist dies nicht der Fall, dann lässt sich die Frage auf die zehn Maßnahmen von Artikel 21 Absatz 2 NIS2 zurückführen, die mit dem niederländischen Cybersicherheitsgesetz auch für den niederländischen Markt Geltung erlangen werden. Der Vollständigkeit halber: oder ob das Unternehmen selbst unter NIS2 oder die nationale Umsetzung fällt ist eine separate Frage — Segmentierung kann auch ohne diese Verpflichtung relevant sein, einfach weil ein Kunde sie als Lieferantenrisiko bewertet.