le questionnaire demande quel antivirus ou protection des points terminaux nous utilisons

Endpoint protection relève de la cyberhygiène, non de la gestion des vulnérabilités

La question sur l'antivirus ou endpoint protection utilisé est une sous-question de la mesure plus large de cyberhygiène et de formation à la sécurité prévue à l'article 21 paragraphe 2 NIS2. La réponse dépend uniquement de ce qui fonctionne réellement : si une solution endpoint protection est active sur les postes de travail et les serveurs, « oui » avec le nom du fournisseur est la réponse. Sans une telle solution, ou avec uniquement Windows Defender intégré sans gestion centralisée, la réponse est plus nuancée — il y a bien une protection de base, mais pas de vue d'ensemble centralisée ni de rapports.

De nombreux clients ne posent cette question non pas pour connaître la marque, mais pour vérifier s'il existe une gestion centralisée : les infections peuvent-elles être détectées et isolées, et y a-t-il une visibilité sur l'état de tous les endpoints. Cela touche aussi le processus d'identification et de correction des vulnérabilités, car endpoint protection est souvent la première couche qui signale une vulnérabilité avant qu'elle ne soit exploitée. Celui qui répond « oui » ici sans solution gérée de façon centralisée doit pouvoir le justifier par ce qui existe réellement : un antivirus isolé par machine n'est pas un mensonge, mais ce n'est pas non plus une réponse à part entière à ce qui est généralement visé.

Où cela s'inscrit dans les dix mesures et dans la norme ISO 27001

L'article 21 paragraphe 2 NIS2 mentionne la cyberhygiène et la formation à la sécurité comme l'une des dix mesures, sans nommer explicitement endpoint protection — c'est une mise en œuvre de cette mesure, tout comme les bonnes pratiques plus larges qui relèvent de la formation à l'hygiène de la cybersécurité . Dans l'Annexe A de la norme ISO/IEC 27001, la protection contre les logiciels malveillants figure comme une mesure de gouvernance distincte, séparée de la mesure de formation. Un client qui utilise la norme ISO 27001 comme cadre de référence peut donc s'attendre à une réponse plus précise qu'un client qui n'utilise que les dix mesures de la Loi sur la cybersécurité comme liste de contrôle.