въпросникът пита за антивирусен софтуер или защита на крайния пункт какво трябва да кажа

Защитата на крайни точки попада под кибернетична хигиена, а не под отделна мярка

Антивирусният софтуер или защитата на крайни точки не е включени като отделен компонент в член 21, параграф 2 на NIS2. Тя попада под базовите практики за кибернетична хигиена (част g) и под управление на уязвимостите (част e). При ISO 27001 тя е включена в Приложение A под мерките за контрол срещу вредоносен код и технически уязвимости. Конкретно: посочете продукта или типа (например EDR с централизирано управление или редовно антивирусно решение), уточнете дали е инсталиран на всички крайни точки — сървъри, работни станции, лаптопи — и дали актуализациите и сканирането се прилагат централизирано или по устройство.

Ако защитата на крайни точки липсва на част от системите, отговаряте на този въпрос с "не" и не с "да, с изключение на". Въпросниците рядко оставляват място за нюанси, а частично "да" не може да се разграничи от клиента от цялостно "да". Ако имате EDR или антивирусно решение, но нямате доказателствен документ като конфигурационен преглед или декларация на доставчика, това често е моментът да проверите дали съществува процес за идентифициране и отстраняване на уязвимостите — защитата на крайни точки и управлението на обновяванията често се имат предвид заедно в един въпрос, и тогава отговорът на един въпрос не може да се отделя от другия.

Където това попада: член 21, параграф 2 и приложение А

Член 21, параграф 2 на Директива (EU) 2022/2555 посочва под буква g основните практики за киберхигиена като задължителна част от управлението на риска, а под буква e политиката и процедурите за управление на уязвимостите — защитата на крайни точки се споменава в обясненията към NIS2 като пример на такава практика. В ISO/IEC 27001 Приложение A защитата срещу злонамерен софтуер е посочена като отделна мярка за контрол, отделно от по-широката мярка за управление на уязвимостите. За нидерландските предприятия, които попадат под Закона за киберсигурност, се прилага същото разделение, както в директивата NIS2, тъй като този закон транспонира директивата. Ако се съмняваш дали твоето предприятие попада в неговия обхват, това е отделен въпрос, който можеш да разгледаш при дали предприятието самостоятелно попада под NIS2 директивата — тъй като именно това определя дали това е законово задължение за теб или само въпрос на твоя клиент.