kyselylomake haluaa tietää, mitä antivirus- tai päätepisteen suojaukseen käytämme

Virustorjunta on osa haavoittuvuuksien hallintaa, ei erillinen toimenpide

Kysymys virustorjunnasta tai päätepisteen suojauksesta ei kuulu omaan NIS2-toimenpiteeseen; se kuuluu laajempaan haavoittuvuuksien hallintaa ja kyberneettistä hygieniaa koskevaan toimenpiteeseen NIS2-direktiivin 21 artiklan 2 kohdassa. Päätepisteen suojaus — virustorjunta, EDR (endpoint detection and response) tai vastaava ohjelmisto kannettavissa tietokoneissa ja palvelimissa — on kyseisen vaatimuksen tekninen täytäntöönpano, ei erillinen arviointikohta. Kysymysluettelot, joissa pyydetään tietyn tuotemerkin nimeä (kuten Defender, CrowdStrike, Sophos), haluavat yleensä tietää, onko päätepisteen suojaus järjestelmällisesti käytössä, eivät sitä, mikä tarkka merkki on.

Jos yritys käyttää konkreettista tuotetta, vastaus on yleensä yksinkertainen myöntävä vastaus ja mahdollisesti tuotteen nimi. Jos päätepisteen suojaus puuttuu joiltakin järjestelmiltä tai käytäntö on juuri päivitetty, "ei" tai "osittain" on tosiasiallisesti oikea vastaus — se on näin vain, eikä kukaan tarvitse puolustella sitä. Tämä kysymys esiintyy usein samassa kysymysluettelossa kuin haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa, koska päätepisteen suojaus ja korjauskäytäntö arvioidaan usein yhdessä. Myös kysymys kyberturvallisuushygienian koulutuksen liittyy tähän: pelkkä ohjelmisto ei monille asiakkaille riitä, he haluavat myös tietää, tietävätkö työntekijät, miten sitä käytetään.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

NIS2-direktiivin 21 artiklan 2 kohta mainitsee kymmenen toimenpiteen joukossa sekä "salaukseen liittyvät käytännöt ja menettelyt" että haavoittuvuuksien hallintaa ja kyberneettisen hygienian peruskäytäntöjä koskevia toimenpiteitä — päätepisteen suojaus kuuluu näihin kahteen viimeksi mainittuun. ISO/IEC 27001 Annex A kehittää tätä edelleen kontrollitoimenpiteillä haittaohjelmien vastaiseen suojaukseen ja teknisen haavoittuvuuksien hallintaan. Hollannin kyberturvallisuuslaki, joka säätää direktiivin ja astuu voimaan 15 elokuuta 2026, ei muuta tätä jakoa; se kääntää Euroopan teksti kansallisiksi velvollisuuksiksi.