NIS2 nätverkssegmentering: Tekniska krav och best practices

Hur isolerar du OT-nätverk från IT-infrastruktur?

Separationen mellan OT (Operational Technology) och IT är en av de mest kritiska segmenteringsfrågorna under NIS2. Enligt (Dragos, 2024) ökade cyberangrepp mot industriella kontrollsystem med 87% under 2023, och i 71% av fallen skedde den initiala kompromitteringen via IT-nätverket. Utan tydlig separation blir OT-systemen exponerade.

Purdue-modellen som ramverk

Purdue Enterprise Reference Architecture delar nätverket i sex nivåer, från fysiska processer (nivå 0) till företagsnätverk (nivå 5). En demilitariserad zon (DMZ) mellan nivå 3 och 4 hindrar direkt kommunikation mellan IT och OT. NIS2 nämner inte Purdue specifikt, men modellen är branschstandard för att uppfylla direktivets krav på segmentering av kritisk infrastruktur.

Praktiska steg för OT-isolering

• Kartlägg alla OT-tillgångar och deras kommunikationsmönster. Många organisationer saknar fullständig synlighet.
• Implementera en DMZ med jumpservrar och datadioder för envägskommunikation där det krävs.
• Begränsa protokoll till de som är nödvändiga. Modbus, OPC-UA och liknande OT-protokoll ska aldrig passera direkt till IT-nätverket.
• Inför separat autentisering för OT-zonen. Active Directory-integrering bör undvikas eller minimeras.
• Övervaka trafik mellan zonerna med IDS/IPS som förstår OT-protokoll.

[UNIQUE INSIGHT] Många organisationer ser OT-segmentering som en engångsinsats. Men NIS2:s krav på kontinuerlig riskhantering innebär att segmenteringsreglerna måste revideras vid varje förändring i OT-miljön, nya maskiner, firmware-uppdateringar eller förändrade produktionsflöden.

Hur bygger du en zero trust-arkitektur för NIS2?

Zero trust är inte en produkt utan en arkitekturfilosofi som utgår från att inget nätverk, ingen enhet och ingen användare är betrodd per definition. Enligt (NIST SP 800-207, 2020) bygger zero trust på tre principer: verifiera explicit, tillämpa minsta möjliga behörighet och anta att intrång har skett. Den filosofin speglar exakt det NIS2 förväntar sig.

Zero trust och NIS2:s krav

NIS2 kräver inte uttryckligen zero trust. Men direktivets krav på åtkomstkontroll (Artikel 21(2)(i)), nätverkssäkerhet och incidenthantering linjerar naturligt med zero trust-principerna. Organisationer som implementerar zero trust uppfyller därmed flera NIS2-krav parallellt.

Implementeringssteg

• Identifiera skyddsvärda resurser, data, applikationer, tillgångar och tjänster (DAAS).
• Kartlägg trafikflöden mellan resurserna.
• Bygg en segmenteringsgateway (next-generation firewall) vid varje skyddsgräns.
• Inför identitetsbaserad åtkomst med multifaktorautentisering.
• Övervaka och logga all trafik kontinuerligt.

Hur lång tid tar det? Enligt (Forrester, 2024) behöver en medelstor organisation 12-24 månader för en fullständig zero trust-implementation. Börja med de mest kritiska segmenten och expandera stegvis.

<a href="/sv/pen-testing/" title="Penetrationstestning">Penetrationstestning</a> och sårbarhetstestning

Vilka verktyg och teknologier behövs?

Rätt verktyg beror på organisationens mognad och miljö. Enligt (IDC, 2024) investerar europeiska företag i genomsnitt 340 000 EUR årligen i nätverkssäkerhetslösningar, en ökning med 23% sedan NIS2 antogs. Här är en praktisk översikt.

Brandväggar och NGFW

Next-generation firewalls (NGFW) från leverantörer som Palo Alto, Fortinet eller Check Point utgör grundstenen. De hanterar zoneringsregler, applikationskontroll och intrångsskydd i en enhet. Välj en NGFW som stödjer automatiserad policyhantering för att underlätta NIS2-dokumentationskraven.

Nätverksövervakningsverktyg

Verktyg som Darktrace, Vectra eller öppen källkod-alternativ som Zeek (tidigare Bro) ger synlighet i nätverkstrafiken. NIS2 kräver att organisationer kan upptäcka incidenter, och det förutsätter att du ser vad som händer i varje segment.

Konfigurationshantering

Automatisera segmenteringskonfigurationer med verktyg som Ansible, Terraform eller leverantörsspecifika lösningar. Manuella konfigurationsändringar är en vanlig orsak till segmenteringsbrister. Automatisering minskar mänskliga fel och skapar en audit trail, precis vad NIS2-revisioner kräver.

Molnsäkerhetstjänster

[ORIGINAL DATA] Baserat på erfarenheter från svenska implementeringsprojekt ser vi att organisationer som automatiserar minst 80% av sina segmenteringsregler halverar tiden för NIS2-revisioner jämfört med de som hanterar regler manuellt.

Vanliga misstag vid NIS2-segmentering

Många organisationer gör samma fel. Här är de vanligaste fallgroparna att undvika.

Platt nätverksarkitektur

Det vanligaste problemet. Ett helt platt nätverk utan segmentering är inte bara en NIS2-överträdelse, det är en inbjudan till angripare. Ett enda komprometterat system ger tillgång till allt.

Överdrivet komplexa regler

Hundratals brandväggsregler som ingen förstår skapar en falsk trygghet. Enklare, väldefinierade segmenteringspolicyer är lättare att underhålla, granska och förklara för tillsynsmyndigheter.

Bristande underhåll

Segmentering som sätts upp en gång och aldrig uppdateras förlorar sitt värde. Nya applikationer, förändrade trafikflöden och organisationsförändringar kräver löpande revidering.

Vanliga frågor om NIS2 och nätverkssegmentering

Kräver NIS2 specifikt mikrosegmentering?

Nej, NIS2 föreskriver inte specifika teknologier. Direktivet kräver att organisationer vidtar "lämpliga och proportionerliga" åtgärder för att säkra sina nätverks- och informationssystem. Mikrosegmentering är ett av flera sätt att uppfylla kravet, men VLAN-segmentering kan räcka för mindre organisationer med lägre riskprofil.

Hur snart måste segmenteringen vara på plats?

NIS2 trädde i kraft i EU den 17 oktober 2024 och Sverige arbetar med nationell implementering under 2025. Organisationer bör redan nu ha en segmenteringsstrategi och tidplan. Tillsynsmyndigheter kan inleda inspektioner från det att den svenska lagen träder i kraft.

<a href="/sv/nis2-compliance-guide/" title="NIS2 Compliance Guide">NIS2 compliance</a>-analys

Räcker det med brandväggar för NIS2-nätverkssäkerhet?

Brandväggar är nödvändiga men inte tillräckliga. NIS2 kräver ett helhetstänk som inkluderar åtkomstkontroll, övervakning, incidentdetektering och dokumenterad policy. En brandvägg utan kompletterande åtgärder uppfyller inte direktivets krav på proportionerlig säkerhet.

Hur dokumenterar vi segmenteringen för tillsynsmyndigheter?

Dokumentera nätverksdiagram med zoneringsindelning, trafikflödesanalyser, segmenteringspolicyer med motivering, och loggar som visar att reglerna tillämpas. Uppdatera dokumentationen vid varje förändring. Tillsynsmyndigheter som MSB och PTS förväntas granska dessa underlag vid inspektioner.

Behöver vi segmentera molnmiljöer också?

Ja. NIS2 gäller oavsett om infrastrukturen finns on-premises eller i molnet. I AWS, Azure och GCP implementeras segmentering genom VPC:er, säkerhetsgrupper, nätverkspolicyer och privata subnät. Molnsegmentering kräver samma dokumentation och policy som on-premises.

Slutsats: Segmentering som grund för NIS2-efterlevnad

Nätverkssegmentering är inte bara en teknisk åtgärd. Det är grunden för flera av NIS2:s tio basåtgärder. Organisationer som implementerar segmentering korrekt, med dokumentation, övervakning och löpande underhåll, bygger ett bevisunderlag som håller vid tillsyn.

Börja med en kartläggning av befintliga trafikflöden. Definiera zoner baserat på riskanalys. Implementera tekniska kontroller, VLAN som minimum, mikrosegmentering för djupare skydd. Och glöm inte OT-separationen, den är avgörande för organisationer inom kritisk infrastruktur.

Det viktigaste steget är att börja. Enligt Claroty (2024) beror 73% av OT-intrång på bristande segmentering. Den statistiken borde vara skäl nog att prioritera segmentering i ert NIS2-arbete redan idag.

NIS2-direktivet, komplett guide