le questionnaire demande la segmentation du réseau qu'est-ce que cela signifie et que je remplis

La segmentation relève de la politique d'accès, non de la cryptographie

La segmentation de réseau signifie que le réseau d'entreprise est divisé en parties distinctes, de sorte qu'un intrus qui entre dans une partie ne peut pas automatiquement accéder au reste. Pensez à un segment distinct pour l'automatisation de bureau, un segment distinct pour les systèmes de production (OT) et un segment distinct pour le wifi invités. La question réapparaît généralement dans la section sur le contrôle d'accès, et non dans la cryptographie ou la continuité — logique, car la segmentation est au cœur une forme de contrôle d'accès au niveau du réseau.

Si vous ne l'avez pas mis en place, alors « non » est la réponse honnête — il n'y a pas de milieu qui semble correct mais qui est factuellement inexact. Si vous l'avez mis en place, mais seulement « implicitement » via des VLAN sans politique documentée, remplissez alors ce qui existe réellement : une mesure technique sans document est différente d'une mesure avec un document politique derrière. Les clients qui posent cette question demandent souvent en même temps la politique d'accès et de la gestion des actifs — la segmentation en est l'équivalent au niveau de la technique réseau. Si vous hésitez à partager votre schéma de réseau ou vos règles de pare-feu comme preuve, utilisez le bouton de confidentialité au lieu de le peser vous-même.

Où cela figure dans les dix mesures

La segmentation de réseau relève des mesures de contrôle d'accès et de sécurité des systèmes de réseau et d'information énoncées à l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) — cet article énumère dix catégories de mesures, notamment la politique de contrôle d'accès et la sécurité des systèmes lors de l'acquisition, du développement et de la maintenance. Dans ISO/IEC 27001, la segmentation réapparaît en Annexe A, dans les mesures de contrôle pour la sécurité des réseaux. Pour les entreprises qui relèveront elles-mêmes de la loi sur la cybersécurité — la transposition néerlandaise de NIS2, qui entrera en vigueur le 15 août 2026 — ceci devient l'une des dix mesures obligatoires ; si maintenant vous hésitez déjà sur le fait que cela s'applique à votre propre entreprise, vous pouvez le vérifier auprès de la question de savoir si l'entreprise en tant qu'entité relève de NIS2.