spørgeskemaet spørger om antivirussoftware eller endpoint protection, hvad skal jeg sige

Endpointbeskyttelse falder under cyberhygiejne, ikke under en selvstændig foranstaltning

Antivirussoftware eller endpoint protection fremgår ikke som en selvstændig del af artikel 21, stk. 2 i NIS2. Det falder under grundlæggende cyberhygiejne-praksis (pkt. g) og under styring af sårbarheder (pkt. e). I ISO 27001 findes det i Annex A under kontrolforanstaltninger for malware og tekniske sårbarheder. Konkret: navngiv produktet eller typen (f.eks. EDR med centraliseret styring eller en almindelig antivirusløsning), angiv, om det findes på alle endpoints — servere, arbejdsstationer, bærbare computere — og om opdateringer og scanninger gennemtvinges centralt eller pr. enhed.

Hvis endpointbeskyttelse mangler på nogle af systemerne, svarer du "nej" på det og ikke "ja, med undtagelse af". Spørgeskemaer giver sjældent plads til nuancer, og et delvist "ja" kan for en kunde ikke skelnes fra et fuldstændigt "ja". Hvis du har en EDR- eller antivirusløsning, men mangler dokumentation såsom en konfigurationsoversigt eller en leverandørerklæring, er det ofte det rette tidspunkt til at kontrollere, om der findes en proces for at identificere og afhjælpe sårbarheder — endpointbeskyttelse og patchstyring bliver ofte anført i samme spørgsmål, og svaret på det ene spørgsmål kan derfor ikke ses uafhængigt af det andet.

Hvor dette falder ind under: artikel 21 stk. 2 og Bilag A

Artikel 21, stk. 2 i direktiv (EU) 2022/2555 nævner under pkt. g grundlæggende cyberhygiejne-praksis som en obligatorisk del af risikostyringen, og under pkt. e politik og procedurer for styring af sårbarheder — endpointbeskyttelse nævnes i vejledningen til NIS2 som et eksempel på sådan en praksis. I ISO/IEC 27001 Annex A findes beskyttelse mod malware som en selvstændig kontrolforanstaltning, adskilt fra den bredere sårbarhedsmåling. For danske virksomheder, der falder ind under Cybersikkerhedsloven, gælder samme inddeling som i NIS2-direktivet, fordi loven implementerer direktivet. Hvis du er usikker på, om din virksomhed falder ind under dette, er det et separat spørgsmål, som du kan gennemgå ved eller om virksomheden selv falder under NIS2-direktivet — det afgør nemlig, om dette er en juridisk forpligtelse for dig eller blot et spørgsmål fra din kunde.