sie fragen, ob unser Betriebsnetzwerk in Segmente unterteilt ist

Netzwerksegmentierung ist Bestandteil der Zugangsrichtlinie, nicht der Kryptografie

Segmentierung fällt in der Praxis meist unter die Maßnahmen für Zugriffssicherheit und Assetmanagement, nicht unter einen separaten Punkt. Die Frage prüft, ob Sie Ihr Netzwerk in Zonen unterteilt haben — beispielsweise Büroautomatisierung, Produktionsumgebung, Gastnetzwerk und OT getrennt voneinander — damit eine Infektion in einem Segment sich nicht automatisch auf ein anderes ausbreitet. Ein konkreter Nachweis ist ein Netzwerkdiagramm mit VLANs oder Subnetzen, Firewall-Regeln, die den Datenverkehr zwischen Segmenten einschränken, und eine kurze Erläuterung des Designprinzips (beispielsweise "flat network" versus "zone-based"). Wenn das vorhanden ist, ist "ja" mit diesem Diagramm als Nachweis eine haltbare Antwort.

Fehlt die Segmentierung oder ist das Netzwerk größtenteils flach mit nur wenigen VLANs der Form halber, dann ist "nein" mit einer kurzen Erläuterung ehrlicher als ein "ja", das bei einer Prüfung nicht standhält. Wenn Sie sich unsicher sind, ob Ihre eigene Antwort zu der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen bereits Segmentierung einbezieht — oft wird das in einer Antwort kombiniert, da Assetinventur die Grundlage ist, auf der Sie Segmentierungsgrenzen ziehen. Relevant ist auch, ob Segmentierung in Ihrer Richtlinie zur Risikoanalyse ausdrücklich genannt wird, denn dort wird normalerweise begründet, warum bestimmte Systeme getrennt sind.

Wo dies in den zehn Maßnahmen steht

Netzwerksegmentierung ist kein separater Punkt in Artikel 21 Absatz 2 der NIS2-Richtlinie, wird dort aber implizit durch die Maßnahmen für Zugriffssicherheit (Teilpunkt i) und Assetmanagement im Risikomanagement (Teilpunkt a) abgedeckt. In ISO/IEC 27001 Anhang A ist sie ausdrücklich unter den Kontrollen für Netzwerksicherheit zu finden, wo Segmentierung als Kontrollmaßnahme genannt wird, um Netzwerke auf der Grundlage der Vertrauensstufe zu trennen. Fallen Sie selbst unter das Cybersicherheitsgesetz als Einrichtung, die unter die NIS2-Richtlinie oder deren nationale Umsetzung fällt dann ist Segmentierung normalerweise Teil der Risikobewertung, die du ohnehin dokumentieren musst.