Dotazník se ptá na antivirový software nebo ochranu koncového bodu, co mám říci

Endpoint protection spadá pod kybernetickou hygienu, nikoli pod samostatné opatření

Antivirový software nebo endpoint protection se v článku 21 odstavec 2 NIS2 neobjevuje jako samostatná část. Spadá pod základní postupy pro kybernetickou hygienu (část g) a pod řízení zranitelností (část e). V ISO 27001 se nachází v příloze A mezi opatřeními pro ochranu před malwarem a technickými zranitelnostmi. Konkrétně: pojmenujte produkt nebo typ (např. EDR s centrální správou nebo běžné antivirové řešení), uveďte, zda je nainstalováno na všech endpointech — serverech, pracovních stanicích, přenosných počítačích — a zda jsou aktualizace a skenování vynucovány centrálně nebo na jednotlivém zařízení.

Pokud endpoint protection chybí na části systémů, odpovíte na to "ne" a nikoli "ano, s výjimkami". Dotazníky zřídka poskytují prostor pro nuance a částečné "ano" se pro zákazníka neliší od úplného "ano". Máte-li sice EDR nebo antivirové řešení, ale nemáte důkaz jako přehled konfigurace nebo prohlášení dodavatele, pak je to často chvíle, kdy je třeba zkontrolovat, zda existuje proces pro odhalování a náprav zranitelností — endpoint protection a spravování oprav se v téže otázce často myslí společně, a proto odpověď na jednu otázku nelze oddělovat od druhé.

Kam to patří: článek 21 odstavec 2 a Příloha A

Článek 21 odstavec 2 směrnice (EU) 2022/2555 zmiňuje pod písmenem g základní postupy pro kybernetickou hygienu jako povinnou součást řízení rizik a pod písmenem e politiku a postupy řízení zranitelností — endpoint protection je v komentáři k NIS2 uvedena jako příklad takového postupu. V normě ISO/IEC 27001 příloha A je ochrana před malwarem samostatným bezpečnostním opatřením, oddělená od širšího opatření na řízení zranitelností. Pro nizozemské podnikatelské subjekty podléhající zákonu o kybernetické bezpečnosti platí stejné rozdělení jako v direktivě NIS2, protože tento zákon směrnici přeměňuje. Pokud si nejste jisti, zda vaš podnikatelský subjekt pod toto spadá, jde o samostatnou otázku, kterou si můžete vyjasnit u zda podnik sám spadá pod směrnici NIS2 — to totiž určuje, zda je to pro vás zákonná povinnost nebo pouze dotaz od vašeho zákazníka.