el cuestionario pregunta si nuestra red está segmentada, qué significa eso

La segmentación de red forma parte de la política de acceso, no de una medida aislada

La segmentación de red en sí no aparece como término independiente en el artículo 21, apartado 2 de NIS2. Forma parte de la medida más amplia de control de acceso y seguridad de sistemas — la misma categoría a la que también la política de acceso y la gestión de activos pertenece. En la práctica, un cliente pregunta con esto: ¿puede alguien que entra en la red de invitados o a través de una impresora hackeada acceder simplemente al entorno de producción o a los sistemas de recursos humanos? La segmentación significa que la red está dividida en zonas separadas, con reglas de acceso propias entre esas zonas.

Si existe segmentación, el documento de prueba suele ser un esquema de red o una breve descripción de las zonas (oficina, producción, invitados, DMZ) y las reglas entre esas zonas — a menudo registradas en una configuración de firewall o en la propia política de acceso. Si no hay segmentación formal pero sí una separación práctica — por ejemplo, una red wifi separada para invitados sin acceso a sistemas internos — a menudo es suficiente para responder a la pregunta con una aclaración en lugar de con un simple «no». La duda existe especialmente en redes más pequeñas sin VLAN o zonas: entonces la respuesta suele ser «no» o «parcialmente», y no hay problema en rellenarla así.

Rastreable a Annex A de ISO 27001 y artículo 21, apartado 2 NIS2

Quien está certificado según ISO 27001 suele ya haber implementado la segmentación a través de las medidas de control en Annex A sobre seguridad de red; si no es así, la pregunta puede atribuirse a las diez medidas del artículo 21, apartado 2 NIS2, que también van a aplicarse al mercado holandés con la Ley de Ciberseguridad. Para completar: o si la empresa misma está sujeta a NIS2 o a su transposición nacional es una cuestión aparte — la segmentación también puede ser relevante sin esa obligación, simplemente porque un cliente la evalúa como riesgo de proveedor.