Der Kunde fragt, ob wir Antivirus- oder Endpoint-Protection-Software verwenden

Antivirus fällt unter Schwachstellenmanagement, nicht unter Cyberhygiene

Antivirus oder Endpoint Protection ist eine technische Maßnahme, und diese ordnen Sie am besten unter Schwachstellenmanagement oder unter Zugangsrichtlinie ein, nicht unter Sensibilisierung. Endpoint Protection erkennt und blockiert Malware auf Laptops, Servern und mobilen Geräten — das ist etwas anderes als die zehn Maßnahmen insgesamt, und Kunden, die dies separat fragen, möchten meist nur bestätigen, dass auf allen Endpoints ein aktives, aktuelles System läuft, keine vollständige Beschreibung Ihrer Architektur.

Wenn das Unternehmen eine Endpoint-Protection-Lösung hat (Defender for Endpoint, CrowdStrike, Sophos oder ähnlich) mit zentraler Verwaltung und automatischen Updates, ist "ja" mit einer kurzen Erläuterung die übliche Antwort. Fehlt die zentrale Verwaltung und läuft nur separate Verbraucher-Antivirus, dann ist ein deutliches "ja" nicht haltbar — ein Kunde, der hierauf nachfragt, möchte oft wissen, ob dies Teil eines umfassenderen Prozesses zur Erkennung und Behebung von Schwachstellenist, und ein isoliertes Antivirusprogramm ohne weitere Begründung beantwortet diese Frage nicht vollständig. Im Zweifelsfall ist ein "nein" mit Erläuterung ehrlicher als ein "ja", das sich bei einer Prüfung als falsch herausstellt.

Woher dies folgt: Artikel 21 Absatz 2 und Anhang A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt unter den zehn Maßnahmen ausdrücklich Grundpraktiken im Bereich Cyberhygiene und Schutz von Systemen bei Beschaffung, Entwicklung und Wartung — Endpoint Protection wird als technische Umsetzung davon angesehen, zusammen mit Patch-Management. In ISO/IEC 27001 Anhang A ist dies unter den Kontrollmaßnahmen für "protection against malware" und unter der breiteren Kategorie technische Sicherheit enthalten. Kunden, die diese Frage aufgrund ihrer eigenen Zugangsrichtlinie, einschließlich der Verwaltung von Vermögenswertenstellen, erwarten meist eine konkrete Antwort zur Abdeckung (welche Geräte) und Verwaltung (zentral oder nicht), keine Produktbezeichnung.