Fragebogen fragt nach Antivirensoftware oder Endpoint Protection, was sage ich

Endpunkt-Schutz fällt unter Cyberhygiene, nicht unter eine eigene Maßnahme

Antivirussoftware oder Endpoint Protection ist kein eigenständiger Bestandteil von Artikel 21 Absatz 2 NIS2. Sie fällt unter die Grundpraktiken der Cyberhygiene (Buchstabe g) und unter das Schwachstellenmanagement (Buchstabe e). Bei ISO 27001 ist sie in Annex A unter den Kontrollmaßnahmen für Malware und technische Schwachstellen enthalten. Konkret: benennen Sie das Produkt oder den Typ (z. B. EDR mit zentraler Verwaltung oder eine reguläre Antivirenlösung), geben Sie an, ob es auf allen Endpunkten vorhanden ist — Server, Arbeitsstationen, Laptops — und ob Updates und Scans zentral erzwungen werden oder pro Gerät.

Wenn auf einem Teil der Systeme der Endpunkt-Schutz fehlt, antworten Sie mit "nein" und nicht mit "ja, mit Ausnahme von". Fragebögen bieten selten Platz für Nuancen, und ein teilweise "ja" ist für einen Kunden nicht von einem vollständigen "ja" zu unterscheiden. Wenn Sie eine EDR- oder Antivirenlösung haben, aber kein Nachweisdokument wie eine Konfigurationsübersicht oder eine Herstellererklärung, dann ist oft der Zeitpunkt gekommen, um zu prüfen, ob ein Verfahren zur Erkennung und Behebung von Schwachstellen vorhanden ist — Endpunkt-Schutz und Patch-Management werden in derselben Frage oft zusammen verstanden, und dann kann die Antwort auf die eine Frage nicht losgelöst von der anderen betrachtet werden.

Wo dies unter fällt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt unter Buchstabe g die Grundpraktiken der Cyberhygiene als verbindlicher Bestandteil des Risikomanagements und unter Buchstabe e die Richtlinien und Verfahren für das Schwachstellenmanagement — Endpunkt-Schutz wird in den Erläuterungen zu NIS2 als Beispiel für eine solche Praktik genannt. In ISO/IEC 27001 Annex A ist der Schutz vor Malware als eigenständige Kontrollmaßnahme aufgeführt, getrennt von der breiteren Schwachstellenmaßnahme. Für niederländische Unternehmen, die unter das Cybersicherheitsgesetz fallen, gilt die gleiche Einteilung wie in der NIS2-Richtlinie, da dieses Gesetz die Richtlinie umsetzt. Wenn Sie unsicher sind, ob Ihr Unternehmen darunter fällt, ist das eine separate Frage, die Sie überprüfen können bei oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt — das bestimmt nämlich, ob dies eine gesetzliche Verpflichtung für Sie ist oder nur eine Frage Ihres Kunden.