ze vragen of ons bedrijfsnetwerk in segmenten is opgedeeld

Netwerksegmentatie is onderdeel van toegangsbeleid, niet van cryptografie

Segmentatie zit in de praktijk meestal onder de maatregelen voor toegangsbeveiliging en assetmanagement, niet onder een apart kopje. De vraag test of jullie het netwerk hebben opgedeeld in zones — bijvoorbeeld kantoorautomatisering, productie-omgeving, gastnetwerk en OT gescheiden van elkaar — zodat een besmetting in het ene segment zich niet automatisch verspreidt naar het andere. Concreet bewijs is een netwerkdiagram met VLAN's of subnetten, firewallregels die het verkeer tussen segmenten beperken, en een korte toelichting op het ontwerpprincipe (bijvoorbeeld "flat network" versus "zone-based"). Als dat er is, is "ja" met dat diagram als bewijsstuk een houdbaar antwoord.

Ontbreekt segmentatie, of is het netwerk grotendeels plat met alleen wat VLAN's voor de vorm, dan is "nee" met een korte toelichting eerlijker dan een "ja" dat bij een audit niet standhoudt. Twijfel je of jullie eigen antwoord over het toegangsbeleid en het beheer van bedrijfsmiddelen al segmentatie meeneemt — vaak wordt dat in één antwoord gecombineerd, omdat assetinventarisatie de basis is waarop je segmentatiegrenzen trekt. Ook relevant is of segmentatie specifiek genoemd wordt in jullie beleid voor risicoanalyse, want daar wordt meestal onderbouwd waarom bepaalde systemen apart staan.

Waar dit in de tien maatregelen staat

Netwerksegmentatie is geen apart punt in artikel 21 lid 2 van de NIS2-richtlijn, maar wordt daar impliciet gedekt door de maatregelen voor toegangsbeveiliging (onderdeel i) en assetmanagement binnen risicobeheer (onderdeel a). In ISO/IEC 27001 Annex A is het expliciet terug te vinden onder de beheersmaatregelen voor netwerkbeveiliging, waar segmentatie als controlemaatregel wordt genoemd om netwerken te scheiden op basis van vertrouwensniveau. Val je zelf onder de Cyberbeveiligingswet als entiteit die onder de NIS2-richtlijn of de nationale omzetting valt, dan is segmentatie doorgaans onderdeel van de risicobeoordeling die je toch al moet documenteren.