el cliente pregunta qué antivirus o protección de endpoints utilizamos

Antivirus se incluye en la gestión de vulnerabilidades, no bajo una pregunta independiente

Indicar un nombre de marca generalmente no es lo que se pregunta. "¿Qué antivirus utiliza" es casi siempre una traducción de una pregunta a la medida (i) del artículo 21, apartado 2, de la Directiva (UE) 2022/2555: política de gestión y análisis de vulnerabilidades. El cliente quiere saber si los endpoints están protegidos estructuralmente contra malware y si esa protección se mantiene actualizada — no qué logo aparece en la caja. En ISO/IEC 27001 esto vuelve a aparecer en el Anexo A, bajo las medidas de control para la protección contra malware y para la gestión técnica de vulnerabilidades.

Lo que la prueba generalmente debe demostrar: que hay protección de endpoints en funcionamiento en todos los dispositivos relevantes, que las definiciones o la detección se actualizan automáticamente, y que existe un proceso para hacer seguimiento a las alertas — no solo que el software está instalado. Una captura de pantalla de un portátil no es prueba de toda la organización; un informe del panel de gestión de la solución de endpoints, con porcentaje de cobertura y estado de actualización, sí lo es. Si falta ese informe, la respuesta no es "no" sino "aún por fundamentar" — el expediente de la cadena no marca un sí sin fuente. Esto va junto con el proceso de identificación y corrección de vulnerabilidades, ya que antivirus es una medida dentro de ese proceso más amplio, no un fin en sí mismo. En algunos cuestionarios la pregunta se formula de manera más amplia y cae más bien bajo la política para el análisis de riesgos y la seguridad de los sistemas de información; así que verifica el formato antes de rellenar en el bloque equivocado.

Dónde aparece en la directiva y la norma

El artículo 21, apartado 2, letra i) de la Directiva (UE) 2022/2555 no menciona aquí "política y procedimientos relativos al uso de la criptografía", pero sí menciona explícitamente "política de gestión y análisis de vulnerabilidades" como una de las diez medidas; la protección contra malware es su implementación operativa. En el Anexo A de ISO/IEC 27001 esto aparece nuevamente en las medidas de control para la protección contra malware y para la gestión de vulnerabilidades técnicas. La Ley de Ciberseguridad adopta las diez medidas del artículo 21 cuando entre en vigor.