Wat Vraagt NIS2 Over Netwerkbeveiliging En Segmentatie?

Een medewerker opent een bijlage. Binnen enkele minuten heeft de aanvaller een werkplek in handen. De vraag die daarna alles bepaalt is simpel: kan hij vanaf die ene laptop bij de bestandsserver, de boekhouding, de productieomgeving en de back-ups? In veel netwerken is het antwoord ja.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van NIS2. NIS2 netwerkbeveiliging en segmentatie staan niet als apart genummerd punt in de lijst van tien maatregelen uit artikel 21, maar komen terug in maatregel 1 (beveiliging van informatiesystemen), maatregel 9 (toegangsbeleid) en maatregel 10 (beveiligde communicatie). Ze bepalen samen hoe ver een aanvaller komt nadat hij binnen is.

Wat vraagt NIS2 over netwerkbeveiliging en segmentatie?

De wet noemt geen firewallmerken, geen VLAN-aantallen en geen verplichte architectuur. Wat de wet vraagt, is dat u passende technische, operationele en organisatorische maatregelen neemt die in verhouding staan tot uw risico’s, en dat u die keuzes kunt onderbouwen.

Dat maakt segmentatie een afweging, geen voorschrift. De relevante vraag is niet “hoeveel zones moeten wij hebben”, maar “wat gebeurt er met onze dienstverlening als een aanvaller of een besmetting zich vrij door het netwerk kan bewegen”. Die vraag beantwoordt u in uw risicoanalyse, en het antwoord bepaalt hoe fijnmazig uw indeling hoort te zijn.

Netwerkbeveiliging staat verder niet op zichzelf. Ze werkt samen met de andere maatregelen uit artikel 21. Segmentatie geeft u tijd om een incident te ontdekken, en die tijd is alleen waardevol als u ook daadwerkelijk kijkt.

Wat is netwerksegmentatie precies?

Netwerksegmentatie is het opdelen van uw netwerk in afgescheiden delen, met gecontroleerd verkeer daartussen. In een plat netwerk kan elk apparaat elk ander apparaat bereiken. In een gesegmenteerd netwerk mag verkeer alleen tussen zones stromen als daar een expliciete regel voor is.

De vergelijking met een schip is bruikbaar. Een romp zonder schotten zinkt bij één lek. Een romp met waterdichte compartimenten loopt één compartiment vol en blijft drijven. Segmentatie doet hetzelfde met uw netwerk: het lek blijft, maar het gevolg blijft beperkt tot één deel.

Belangrijk is dat segmentatie meer is dan losse VLAN’s aanleggen. Zonder filtering tussen die VLAN’s heeft u alleen het netwerk administratief opgedeeld en niets afgeschermd. De scheiding ontstaat pas bij het bewust toestaan of blokkeren van verkeer.

Waarom beperkt segmentatie de impact van ransomware?

Ransomware verspreidt zich zelden alleen op de besmette machine. Na de eerste toegang gaat een aanvaller op zoek naar andere systemen, verzamelt inloggegevens, en versleutelt pas als hij zo veel mogelijk bereikt heeft. Die zijwaartse beweging is de fase waarin de schade wordt bepaald.

Segmentatie raakt precies die fase. Als de kantoorwerkplekken niet rechtstreeks bij de serveromgeving kunnen, en de serveromgeving niet bij de productie- of beheerzone, dan moet de aanvaller elke grens apart nemen. Elke grens kost hem tijd, en elke poging is een signaal dat u kunt opmerken.

Het duidelijkste voorbeeld zijn back-ups. Een back-up die vanaf een gewone werkplek benaderbaar is, wordt in een ransomwareaanval standaard meegenomen. Een back-up in een aparte zone met eenrichtingsverkeer overleeft dat meestal wel. Dat maakt segmentatie ook een randvoorwaarde voor uw back-up- en herstelstrategie.

Welke zones onderscheidt u in de praktijk?

Begin met een grove indeling en verfijn die later. Vier tot zes zones zijn voor de meeste organisaties beter werkbaar dan twintig, en leveren het grootste deel van de winst op. De onderstaande tabel geeft een vertrekpunt.

De laatste zone verdient extra aandacht. Camera’s, klimaatinstallaties, toegangssystemen en productiemachines draaien vaak op software die zelden wordt bijgewerkt. Als u ze niet kunt patchen, zoals beschreven bij kwetsbaarhedenbeheer, is isolatie de compenserende maatregel die dat risico beheersbaar maakt.

Hoe beveiligt u netwerkdiensten?

Segmentatie regelt waar verkeer heen mag. Daarnaast moeten de diensten zelf op orde zijn. De volgende punten leveren doorgaans de meeste winst per bestede uur.

• Alleen noodzakelijke poorten open. Werk met een standaardregel die alles blokkeert en sta alleen expliciet toe wat nodig is, in plaats van andersom.
• Beheerinterfaces nooit direct vanaf internet. Beheerpanelen van firewalls, switches, servers en camera’s horen alleen bereikbaar te zijn vanuit de beheerzone.
• Verouderde protocollen uitschakelen. Onversleutelde beheerprotocollen en verouderde protocolversies horen uit te staan, ook intern.
• Naamgeving en DNS beschermen. Gebruik gecontroleerde DNS-doorstuurservers en blokkeer bekende kwaadaardige domeinen.
• Draadloos netwerk scheiden. Gasten op een eigen netwerk zonder toegang tot bedrijfssystemen, medewerkers via geauthenticeerde toegang.
• Configuratie vastleggen. Documenteer de zone-indeling en de toegestane verkeersstromen, en beoordeel die minstens jaarlijks opnieuw.
• Wijzigingen beheerst doorvoeren. Firewallregels die tijdelijk werden opengezet en nooit zijn gesloten, zijn een terugkerende oorzaak van incidenten.

Hoe regelt u remote toegang veilig?

Remote toegang is in veel organisaties het gat in de segmentatie. Medewerkers, beheerders en leveranciers loggen van buiten in, en belanden daarbij vaak in één keer in het hart van het netwerk.

Drie principes maken dat beheersbaar. Ten eerste: elke externe toegang verloopt via een versleutelde verbinding met multifactorauthenticatie, zonder uitzonderingen voor beheeraccounts. Ten tweede: iemand die van buiten inlogt, komt uit in de zone die bij zijn rol hoort, niet in alle zones tegelijk.

Ten derde: leverancierstoegang is tijdelijk en herleidbaar. Zet toegang aan wanneer die nodig is, zet hem daarna weer uit, en leg vast wie wanneer heeft ingelogd en wat er is gedaan. Permanente beheeraccounts van externe partijen zijn een risico dat u zelden nodig heeft.

Hoe begint u zonder het hele netwerk te verbouwen?

Een volledige herinrichting is voor de meeste organisaties niet realistisch, en ook niet nodig. Begin bij de scheidingen met het grootste effect: haal de back-upomgeving uit het bereik van gewone werkplekken, scheid beheertoegang af, en zet gasten, camera’s en machines op een eigen netwerk.

Werk daarna in stappen verder, en toets bij elke stap of de dienstverlening blijft werken. Leg per stap vast welk risico u afdekt en welke verkeersstromen u toestaat. Die vastlegging is uw bewijs richting de toezichthouder, en tegelijk de basis voor uw bedrijfscontinuïteitsplan: u weet dan namelijk precies welk deel u kunt afsluiten zonder alles plat te leggen.

Veelgestelde vragen over NIS2 netwerkbeveiliging en segmentatie

1. Verplicht NIS2 netwerksegmentatie?

NIS2 noemt segmentatie niet met zoveel woorden, maar vraagt wel om passende maatregelen voor de beveiliging van netwerk- en informatiesystemen. Voor de meeste organisaties is segmentatie daarvan een logisch onderdeel. Kiest u ervoor om niet te segmenteren, leg dan vast waarom dat in uw situatie passend is en welke maatregelen het risico anders afdekken.

2. Hoeveel zones heb ik nodig voor NIS2?

De wet noemt geen aantal. Het aantal volgt uit uw risicoanalyse en de omvang van uw omgeving. Vier tot zes zones dekken voor de meeste organisaties het grootste deel van het risico af: publiek toegankelijk, werkplekken, servers, beheer, back-up en overige apparatuur. Meer zones werken alleen als u ze ook kunt beheren.

3. Is een firewall aan de rand van het netwerk voldoende?

Nee. Een firewall aan de rand houdt verkeer van buiten tegen, maar doet niets zodra een aanvaller via een e-mail of een besmet apparaat al binnen is. Juist het interne verkeer bepaalt hoe ver een besmetting komt. Filtering tussen zones is daarom minstens zo belangrijk als de buitengrens.

4. Helpt segmentatie tegen ransomware?

Ja, maar niet door besmetting te voorkomen. Segmentatie beperkt de zijwaartse beweging waarmee ransomware zich verspreidt naar servers en back-ups. Daardoor blijft de schade beperkt tot een deel van de omgeving en houdt u een herstelpad over. Gecombineerd met afgeschermde back-ups is dit een van de effectiefste maatregelen.

5. Moet ik mijn netwerkontwerp documenteren voor NIS2?

Ja, in praktische zin wel. De toezichthouder beoordeelt of uw maatregelen passend en onderbouwd zijn, en dat kan alleen als de zone-indeling, de toegestane verkeersstromen en de onderliggende afwegingen zijn vastgelegd. Actuele documentatie helpt bovendien tijdens een incident, wanneer u snel moet beslissen wat u afsluit.

Conclusie

Netwerksegmentatie is een van de weinige maatregelen die waarde houdt op het moment dat alles anders al is misgegaan. Ze voorkomt geen inbraak, maar bepaalt wel of een incident één werkplek raakt of uw hele organisatie. Voor NIS2 telt daarbij niet alleen de techniek, maar ook of u kunt uitleggen waarom uw indeling passend is.

Begin bij de scheidingen die het meeste opleveren, leg per stap vast welk risico u afdekt en beoordeel de verkeersstromen periodiek opnieuw. Wilt u de onderliggende documentatie niet zelf schrijven, dan bevat het NIS2 compliance pakket het netwerk- en toegangsbeleid dat hierbij hoort, aangesloten op de tien maatregelgebieden. In de 176 NIS2 document templates vindt u de bijbehorende procedures, en op de pagina met pakketten en prijzen ziet u welke variant bij uw organisatie past.