wat vul ik in bij de vraag over netwerksegmentatie

Netwerksegmentatie: technische scheiding tussen systemen

Bij deze vraag wil de klant weten of het netwerk is opgedeeld in afgescheiden zones, zodat een besmetting in het ene deel niet vrij kan doorlopen naar productiesystemen, financiële systemen of klantdata in een ander deel. Denk aan een gescheiden gastennetwerk, een apart segment voor OT/productieapparatuur, of scheiding tussen test- en productieomgeving met firewalls of VLAN's ertussen. Een "ja" is verdedigbaar als die scheiding aantoonbaar bestaat en niet alleen op papier — de klant vraagt dit vaak juist na een malware-incident bij een andere leverancier in de keten, waar segmentatie ransomware-verspreiding had kunnen beperken.

Heeft de onderneming geen formele segmentatie, dan is "nee" met een korte toelichting beter dan een ingevuld "ja" zonder bewijs: bijvoorbeeld dat kritieke systemen wel fysiek gescheiden staan, of dat segmentatie op de roadmap staat voor het komende kwartaal. Segmentatie hangt vaak samen met het bredere toegangsbeleid en beheer van bedrijfsmiddelen: wie tot welk segment mag, en hoe dat wordt afgedwongen. Ook een koppeling met het proces voor kwetsbaarhedenbeheer is logisch, omdat segmentatie vaak wordt genoemd als compenserende maatregel wanneer een patch nog niet is uitgerold.

Waar dit uit de tien maatregelen volgt

Netwerksegmentatie valt onder de maatregelen voor netwerk- en informatiesysteembeveiliging uit artikel 21 lid 2 van de NIS2-richtlijn, en staat als specifieke beheersmaatregel benoemd in Annex A van ISO/IEC 27001. In Nederland volgt de verplichting voor onder de richtlijn vallende entiteiten uit de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt; tot die datum kan een klant er in een vragenlijst wel al naar vragen als onderdeel van zijn eigen ketenbeoordeling, zonder dat dit een wettelijke verplichting voor de leverancier zelf inhoudt.