la liste de questions veut savoir quel antivirus ou protection des points de terminaison nous utilisons

L'antivirus fait partie de la gestion des vulnérabilités, pas une mesure isolée

La question relative à l'antivirus ou à la protection des points d'extrémité ne relève pas d'une mesure NIS2 propre ; elle s'inscrit dans le cadre de la mesure plus large concernant la gestion des vulnérabilités et l'hygiène de la cybersécurité énoncée à l'article 21, paragraphe 2 de la directive NIS2. La protection des points d'extrémité — antivirus, EDR (endpoint detection and response) ou logiciel comparable sur les ordinateurs portables et serveurs — est une mise en œuvre technique de cette exigence, pas un point de contrôle distinct. Les questionnaires qui demandent spécifiquement la marque du produit (pensez à Defender, CrowdStrike, Sophos) cherchent généralement à savoir s'il existe une protection des points d'extrémité structurelle en place, et non quelle marque exacte est utilisée.

Si l'entreprise utilise un produit concret, la réponse est généralement une simple confirmation, éventuellement accompagnée du nom du produit. Si la protection des points d'extrémité fait défaut sur certains systèmes ou si la politique vient d'être renouvelée, alors « non » ou « partiellement » est la réponse factuellement correcte — c'est comme cela, et personne n'a besoin de le justifier. Cette question figure souvent dans le même questionnaire que le processus d'identification et de correction des vulnérabilités, car la protection des points d'extrémité et la politique de correctifs sont souvent évaluées conjointement. La question relative à la formation à l'hygiène de la cybersécurité est également liée à cela : pour de nombreux clients, le seul logiciel ne suffit pas ; ils veulent aussi savoir si les collaborateurs savent comment l'utiliser.

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2 de la directive NIS2 énumère parmi les dix mesures à la fois une « politique et des procédures relatives à l'utilisation de la cryptographie » et des mesures de gestion des vulnérabilités et de bonnes pratiques élémentaires en matière d'hygiène de la cybersécurité — la protection des points d'extrémité relève de ces deux dernières catégories. La norme ISO/IEC 27001 Annex A développe cela davantage avec des mesures de contrôle pour la protection contre les logiciels malveillants et pour la gestion technique des vulnérabilités. La loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet), qui transpose la directive et entrera en vigueur le 15 août 2026, ne modifie rien à cette classification ; elle traduit le texte européen en obligations nationales.