diff --git a/k8s/07-networkpolicy.yaml b/k8s/07-networkpolicy.yaml
index f60181a..171392d 100644
--- a/k8s/07-networkpolicy.yaml
+++ b/k8s/07-networkpolicy.yaml
@@ -1,6 +1,7 @@
 # Datenbank nur fuer App und Worker erreichbar; App nur ueber Traefik.
-# Traefik wird am Pod-Label erkannt, egal in welchem Namespace es laeuft
-# (eigene Installation "traefik" oder RKE2-Paket "rke2-traefik").
+# Traefik wird an Namespace (traefik oder kube-system) UND Pod-Label erkannt
+# (eigene Installation "traefik" oder RKE2-Paket "rke2-traefik"). Laeuft
+# Traefik in einem anderen Namespace: dessen Namen unten ergaenzen.
 # Pruefen: kubectl get pods -A -l 'app.kubernetes.io/name in (traefik,rke2-traefik)'
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
@@ -30,7 +31,13 @@ spec:
       app: artista-modelcamp-app
   ingress:
     - from:
-        - namespaceSelector: {}
+        # Namespace UND Pod-Label muessen passen: ein Label allein koennte
+        # jeder setzen, der irgendwo Pods starten darf.
+        - namespaceSelector:
+            matchExpressions:
+              - key: kubernetes.io/metadata.name
+                operator: In
+                values: [traefik, kube-system]
           podSelector:
             matchExpressions:
               - key: app.kubernetes.io/name