vragenlijst vraagt welke antivirus of endpoint protection wij gebruiken

Endpoint protection valt onder cyberhygiëne, niet onder kwetsbaarhedenbeheer

De vraag naar de gebruikte virusscanner of endpoint protection is een deelvraag onder de bredere maatregel cyberhygiëne en beveiligingstraining uit artikel 21 lid 2 NIS2. Het antwoord hangt puur af van wat er feitelijk draait: als er een endpoint protection-oplossing actief is op werkstations en servers, is "ja" met de naam van de leverancier het antwoord. Zonder zo'n oplossing, of met alleen de ingebouwde Windows Defender zonder centraal beheer, is het antwoord genuanceerder — dan is er wel basisbescherming, maar geen centraal overzicht of rapportage.

Veel klanten vragen dit niet om de merknaam te weten, maar om te toetsen of er centraal beheer is: kunnen infecties gedetecteerd en geïsoleerd worden, en is er zicht op de status van alle endpoints. Dat raakt ook het proces voor het opsporen en verhelpen van kwetsbaarheden, want endpoint protection is vaak de eerste laag die een kwetsbaarheid signaleert voordat die wordt misbruikt. Wie hier "ja" invult zonder centraal beheerde oplossing, moet dat kunnen onderbouwen met wat er wél staat: losse antivirus per machine is geen leugen, maar ook geen volwaardig antwoord op wat meestal bedoeld wordt.

Waar dit onder valt in de tien maatregelen en in ISO 27001

Artikel 21 lid 2 NIS2 noemt cyberhygiëne en beveiligingstraining als een van de tien maatregelen, zonder endpoint protection letterlijk te noemen — het is een invulling van die maatregel, net als de bredere basispraktijken die onder training in cyberhygiëne vallen. In ISO/IEC 27001 Annex A staat malwarebescherming als aparte beheersmaatregel, los van de train­ings­maatregel. Een klant die ISO 27001 als referentiekader gebruikt, verwacht dus mogelijk een preciezer antwoord dan een klant die alleen de tien maatregelen van de Cyberbeveiligingswet als checklist hanteert.