Kunde fragt, welche Antivirus- oder Endpunkt-Schutzlösung wir verwenden

Antivirus fällt unter Schwachstellenmanagement, nicht unter eine eigene Frage

Eine Marke anzugeben ist meist nicht die Frage. "Welche Antivirus verwenden Sie" ist fast immer eine Übersetzung einer Frage in die Maßnahme (i) des Artikels 21 Absatz 2 NIS2: Strategien und Verfahren für das Management und die Analyse von Schwachstellen. Der Kunde möchte wissen, ob Endpoints strukturell vor Malware geschützt sind und ob dieser Schutz aktuell bleibt — nicht welches Logo auf der Verpackung steht. Bei ISO/IEC 27001 findet sich dies in Annex A unter den Kontrollmaßnahmen zum Schutz vor Malware und zum technischen Schwachstellenmanagement.

Was das Beweisdokument normalerweise zeigen muss: dass auf allen relevanten Geräten Endpoint-Schutz läuft, dass Definitionen oder Erkennungen automatisch aktualisiert werden, und dass ein Prozess zur Bearbeitung von Meldungen vorhanden ist — nicht nur, dass die Software installiert ist. Ein Screenshot von einem Laptop ist kein Beweis für die ganze Organisation; ein Übersicht aus der Managementkonsole der Endpoint-Lösung mit Abdeckungsgrad und Aktualisierungsstatus ist das. Fehlt diese Übersicht, ist die Antwort nicht "nein", sondern "noch zu begründen" — das Kettendossier trägt dann kein Ja ohne Quelle ein. Dies gehört zusammen mit dem Prozess zur Erkennung und Behebung von Schwachstellen, denn Antivirus ist eine Maßnahme in diesem breiteren Prozess, kein Ziel an sich. Bei einigen Fragelisten wird die Frage breiter gestellt und fällt eher unter die Strategie für Risikoanalyse und den Schutz von Informationssystemen; überprüfen Sie daher das Format, bevor Sie im falschen Block ausfüllen.

Wo dies in der Richtlinie und der Norm festgehalten ist

Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 nennt "Strategien und Verfahren für den Einsatz von Kryptografie" hier nicht, aber "Strategien und Verfahren für das Management und die Analyse von Schwachstellen" ausdrücklich als eine der zehn Maßnahmen; Malwareschutz ist die operative Umsetzung davon. In ISO/IEC 27001 Annex A findet sich dies bei den Kontrollmaßnahmen zum Malwareschutz und zum Umgang mit technischen Schwachstellen. Das Cybersicherheitsgesetz übernimmt die zehn Maßnahmen aus Artikel 21, sobald das Gesetz in Kraft tritt.