vad fyller jag i när det gäller frågan om nätverkssegmentering

Nätverkssegmentering: teknisk separation mellan system

Vid denna fråga vill kunden veta om nätverket är uppdelat i separerade zoner, så att en infektion i en del inte fritt kan sprida sig till produktionssystem, finansiella system eller kunddata i en annan del. Tänk på ett separerat gästnätverk, ett separat segment för OT/produktionsutrustning, eller separation mellan test- och produktionsmiljö med brandväggar eller VLAN:er mellan dem. Ett "ja" är försvarbart om denna separation är påvisbar och inte bara på papper — kunden frågar ofta just detta efter en skadprogramincident hos en annan leverantör i kedjan, där segmentering kunde ha begränsat ransomware-spridning.

Om företaget inte har någon formell segmentering är ett "nej" med en kort förklaring bättre än ett ifyllt "ja" utan bevis: till exempel att kritiska system är fysiskt separerade, eller att segmentering står på utvecklingsplanen för kommande kvartal. Segmentering hänger ofta samman med den bredare åtkomstpolicy och hantering av tillgångar: vem som får åtkomst till vilket segment, och hur detta upprätthålls. En koppling till processen för hantering av säkerhetsproblem är också logisk, eftersom segmentering ofta nämns som en kompenserande åtgärd när en patch ännu inte har distribuerats.

Där detta följer från de tio åtgärderna

Nätverkssegmentering faller under åtgärderna för nätverks- och informationssystemsäkerhet enligt artikel 21 punkt 2 i NIS2-direktivet, och är nämnd som en specifik kontrollåtgärd i Annex A i ISO/IEC 27001. I Nederländerna följer förpliktelsen för enheter som omfattas av direktivet från Cyberbeveiligingswet, som träder i kraft den 15 augusti 2026; fram till dess kan en kund redan fråga om det i en frågelist som en del av sin egen kedjegranskning, utan att detta utgör en laglig förpliktelse för leverantören själv.