il questionario vuole sapere quale antivirus o protezione degli endpoint utilizziamo

L'antivirus è parte della gestione delle vulnerabilità, non una misura autonoma

La domanda relativa ad antivirus o protezione degli endpoint non rientra in una propria misura NIS2; appartiene alla misura più ampia sulla gestione delle vulnerabilità e l'igiene informatica di cui all'articolo 21, paragrafo 2 della direttiva NIS2. La protezione degli endpoint — antivirus, EDR (endpoint detection and response), o software analogo su laptop e server — è un'implementazione tecnica di tale obbligo, non un punto di valutazione separato. I questionari che chiedono specificamente il marchio del prodotto (come Defender, CrowdStrike, Sophos) di solito intendono verificare se la protezione degli endpoint funziona strutturalmente, non quale marchio esatto sia in uso.

Se l'impresa utilizza un prodotto concreto, la risposta di solito è una semplice conferma eventualmente con il nome del prodotto. Se la protezione degli endpoint manca su alcuni sistemi, o se la politica è stata appena rinnovata, allora "no" o "parzialmente" è la risposta fattualmente corretta — è così, e nessuno ha bisogno di giustificarlo. Questa domanda appare spesso nello stesso questionario di il processo di identificazione e correzione delle vulnerabilità, perché la protezione degli endpoint e la politica di patching sono spesso valutate insieme. Anche la domanda su formazione in materia di cybersicurezza, è collegata: per molti clienti il solo software non è sufficiente, vogliono anche sapere se i dipendenti sanno come usarlo.

Fonte: articolo 21 paragrafo 2 e Allegato A

L'articolo 21, paragrafo 2 della direttiva NIS2 cita tra le dieci misure sia "politiche e procedure relative all'uso della crittografia" che misure per la gestione delle vulnerabilità e le pratiche di base dell'igiene informatica — la protezione degli endpoint rientra in queste ultime due. ISO/IEC 27001 Annex A lo sviluppa ulteriormente con controlli per la protezione contro il malware e la gestione tecnica delle vulnerabilità. La legge olandese sulla cibersicurezza, che recepisce la direttiva e entrerà in vigore il 15 agosto 2026, non cambia questa classificazione; traduce il testo europeo in obblighi nazionali.