le questionnaire demande si notre réseau est segmenté, que cela signifie-t-il

La segmentation réseau relève de la politique d'accès, non d'une mesure isolée

La segmentation réseau elle-même ne figure pas comme terme distinct à l'article 21, paragraphe 2 de la directive NIS2. Elle relève de la mesure plus large de contrôle d'accès et de sécurité des systèmes — la même catégorie à laquelle appartient également la politique d'accès et de la gestion des actifs . En pratique, un client demande ainsi : quelqu'un qui accède au réseau invités ou via une imprimante piratée peut-il accéder directement à l'environnement de production ou aux systèmes RH ? La segmentation signifie que le réseau est divisé en zones séparées, avec ses propres règles d'accès entre ces zones.

En cas de segmentation, la preuve est généralement un schéma réseau ou une brève description des zones (bureau, production, invités, DMZ) et des règles entre ces zones — souvent consignées dans une configuration pare-feu ou dans la politique d'accès elle-même. S'il n'y a pas de segmentation formelle mais une séparation pratique — par exemple un réseau wifi distinct pour les invités sans accès aux systèmes internes — cela suffit souvent pour répondre à la question avec une explication plutôt que par un simple « non ». Le doute existe surtout dans les petits réseaux sans VLAN ou zones : la réponse est généralement « non » ou « partiellement », ce qui n'est pas un problème à indiquer ainsi.

À ramener à l'Annexe A de la norme ISO 27001 et à l'article 21, paragraphe 2 de la directive NIS2

Si l'entreprise est certifiée ISO 27001, elle a généralement déjà mis en place la segmentation via les mesures de contrôle de l'Annexe A concernant la sécurité réseau ; si ce n'est pas le cas, la question peut être ramenée aux dix mesures de l'article 21, paragraphe 2 de la directive NIS2, qui s'appliqueront également au marché néerlandais avec la Loi sur la cybersécurité. Pour être complet : ou si l'entreprise elle-même relève de la directive NIS2 ou de sa transposition nationale est une question distincte — la segmentation peut aussi être pertinente sans cette obligation, simplement parce qu'un client l'évalue comme un risque fournisseur.