el cuestionario pregunta por software antivirus o protección de endpoint qué digo

La protección de endpoints forma parte de la ciberhigiene, no es una medida independiente

El software antivirus o la protección de endpoints no aparecen como un apartado independiente en el artículo 21, apartado 2 de la Directiva NIS2. Forman parte de las prácticas básicas de ciberhigiene (apartado g) y de la gestión de vulnerabilidades (apartado e). En ISO 27001 se encuentran en el Anexo A bajo las medidas de control para malware y vulnerabilidades técnicas. Concretamente: menciona el producto o tipo (por ejemplo, EDR con gestión centralizada, o una solución antivirus convencional), indica si está en todos los endpoints —servidores, estaciones de trabajo, portátiles— y si las actualizaciones y análisis se imponen de forma centralizada o por dispositivo.

Si falta protección de endpoints en parte de los sistemas, respondes "no" y no "sí, con excepciones". Los cuestionarios rara vez dejan espacio para matices, y un "sí" parcial no se distingue para un cliente de un "sí" completo. Si tienes una solución EDR o antivirus pero careces de pruebas como un resumen de configuración o una declaración del proveedor, ese suele ser el momento para comprobar si existe un proceso para detectar y corregir vulnerabilidades — la protección de endpoints y la gestión de parches se suelen mencionar juntas en la misma pregunta, y la respuesta a una no se puede ver de forma independiente de la otra.

Dónde corresponde esto: artículo 21 apartado 2 y Anexo A

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 menciona en la letra g las prácticas básicas de ciberhigiene como parte obligatoria de la gestión del riesgo, y en la letra e la política y los procedimientos para la gestión de vulnerabilidades — la protección de endpoints se menciona en las orientaciones sobre NIS2 como ejemplo de tal práctica. En ISO/IEC 27001 Anexo A, la protección contra malware figura como una medida de control independiente, separada de la medida más amplia de vulnerabilidades. Para las empresas españolas que estén sujetas a la normativa de ciberseguridad, se aplica la misma clasificación que en la Directiva NIS2, ya que esa normativa transpone la Directiva. Si tienes dudas sobre si tu empresa está sujeta a ella, es una pregunta aparte que puedes verificar con si la empresa se incluye de forma independiente en la Directiva NIS2 — eso determina si es una obligación legal para ti o solo una pregunta de tu cliente.