Was trage ich bei der Frage zur Netzwerksegmentierung ein

Netzwerksegmentierung: technische Trennung zwischen Systemen

Bei dieser Frage möchte der Auftraggeber wissen, ob das Netzwerk in getrennte Zonen aufgeteilt ist, damit eine Infektion in einem Teil nicht ungehindert zu Produktionssystemen, Finanzsystemen oder Kundendaten in einem anderen Teil gelangen kann. Denken Sie an ein separates Gastnetzwerk, ein eigenes Segment für OT-/Produktionsausrüstung oder eine Trennung zwischen Test- und Produktionsumgebung mit Firewalls oder VLANs dazwischen. Ein "Ja" ist vertretbar, wenn diese Trennung nachweisbar vorhanden ist und nicht nur auf dem Papier — der Auftraggeber fragt dies oft gerade nach einem Malware-Vorfall bei einem anderen Lieferanten in der Kette, wo Segmentierung die Ransomware-Verbreitung hätte begrenzen können.

Hat das Unternehmen keine formale Segmentierung, dann ist "Nein" mit einer kurzen Erläuterung besser als ein ausgefülltes "Ja" ohne Nachweis: beispielsweise dass kritische Systeme physisch getrennt stehen, oder dass Segmentierung im Arbeitsplan für das kommende Quartal vorgesehen ist. Segmentierung hängt oft mit der breiteren Zugangsregelung und Verwaltung von Vermögenswertenzusammen: wer Zugang zu welchem Segment hat und wie dies durchgesetzt wird. Auch eine Verknüpfung mit dem Prozess für Schwachstellenmanagement ist sinnvoll, da Segmentierung häufig als Kompensationsmaßnahme genannt wird, wenn ein Patch noch nicht ausgerollt wurde.

Wo dies aus den zehn Maßnahmen folgt

Netzwerksegmentierung fällt unter die Maßnahmen für Netz- und Informationssystemsicherheit aus Artikel 21 Absatz 2 der NIS-2-Richtlinie und ist als spezifische Managementmaßnahme in Anlage A der ISO/IEC 27001 aufgeführt. In den Niederlanden folgt die Verpflichtung für unter die Richtlinie fallende Einrichtungen aus dem Cybersicherheitsgesetz, das am 15. August 2026 in Kraft tritt; bis dahin kann ein Auftraggeber danach in einer Frageliste bereits fragen, als Teil seiner eigenen Kettenbeurteilung, ohne dass dies eine rechtliche Verpflichtung für den Lieferanten selbst darstellt.