vragenlijst vraagt naar antivirussoftware of endpoint protection wat zeg ik

Endpointbeveiliging valt onder cyberhygiëne, niet onder een eigen maatregel

Antivirussoftware of endpoint protection staat niet als los onderdeel in artikel 21 lid 2 NIS2. Het valt onder de basispraktijken voor cyberhygiëne (onderdeel g) en onder kwetsbaarhedenbeheer (onderdeel e). Bij ISO 27001 zit het in Annex A onder de beheersmaatregelen voor malware en technische kwetsbaarheden. Concreet: benoem het product of type (bijv. EDR met centraal beheer, of een reguliere antivirusoplossing), zeg of het op alle endpoints staat — servers, werkstations, laptops — en of updates en scans centraal worden afgedwongen of per apparaat.

Ontbreekt endpointbeveiliging op een deel van de systemen, dan antwoord je daar "nee" op en niet "ja, met uitzondering van". Vragenlijsten geven zelden ruimte voor nuance, en een gedeeltelijk "ja" is voor een klant niet te onderscheiden van een volledig "ja". Heb je wel een EDR- of antivirusoplossing maar geen bewijsstuk zoals een configuratieoverzicht of leveranciersverklaring, dan is dat vaak het moment om te kijken of er een proces is voor het opsporen en verhelpen van kwetsbaarheden — endpointbeveiliging en patchbeheer worden in dezelfde vraag vaak samen bedoeld, en dan is het antwoord op de ene vraag niet los te zien van de andere.

Waar dit onder valt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt onder g de basispraktijken voor cyberhygiëne als verplicht onderdeel van het risicobeheer, en onder e het beleid en de procedures voor kwetsbaarhedenbeheer — endpointbeveiliging wordt in de toelichting bij NIS2 genoemd als voorbeeld van zo'n praktijk. In ISO/IEC 27001 Annex A staat de bescherming tegen malware als afzonderlijke beheersmaatregel, los van de bredere kwetsbaarhedenmaatregel. Voor Nederlandse ondernemingen die onder de Cyberbeveiligingswet gaan vallen, geldt dezelfde indeling als in de NIS2-richtlijn, omdat die wet de richtlijn omzet. Twijfel je of jouw onderneming daaronder valt, dan is dat een aparte vraag die je kunt nalopen bij of de onderneming zelf onder de NIS2-richtlijn valt — dat bepaalt namelijk of dit voor jou een wettelijke verplichting is of alleen een vraag van je klant.