de vragenlijst vraagt of we een firewall en antivirus gebruiken, hoe antwoord ik dat

Firewall en antivirus zijn techniek, niet het antwoord op zich

Een firewall en antivirus zijn losse technische maatregelen, geen op zich staand beveiligingsonderwerp. In de tien maatregelen van artikel 21 lid 2 NIS2 en in Annex A van ISO/IEC 27001 komen ze niet als apart punt voor: ze zijn onderdeel van een breder pakket aan netwerk- en systeembeveiliging. Als de vraag los in een lijst staat, is het meestal een vereenvoudigde vraag van een klant die zelf niet met NIS2-taal werkt, of een eerste screeningsvraag voordat de rest van de lijst volgt.

Beantwoord de vraag feitelijk: heeft de onderneming een firewall en antivirussoftware actief, ja of nee. Als dat zo is, kan het ketendossier dit meestal onderbouwen met een technische inventarisatie of een configuratieoverzicht — geen certificaat, geen verklaring, alleen een feitelijke vaststelling. Ontbreekt die vastlegging, dan is "nee" of "onbekend" het eerlijke antwoord; een firewall die er wel staat maar nergens is gedocumenteerd, levert geen bewijsstuk op waarmee je "ja" kunt onderbouwen. Let op de aansluiting met het toegangsbeleid en het beheer van bedrijfsmiddelen: een firewall zonder actueel overzicht van aangesloten systemen is in de praktijk een halve maatregel, en dat komt in bredere lijsten vaak alsnog terug als aparte vraag.

Waar dit binnen de tien maatregelen valt

Firewalls en antivirus vallen inhoudelijk onder de maatregelen voor netwerk- en systeembeveiliging uit artikel 21 lid 2 NIS2, en in ISO 27001 onder de technische beheersmaatregelen van Annex A. Ze zijn zelden de kern van een audit of toetsing; relevanter is of de onderneming periodiek toetst of haar beveiligingsmaatregelen nog doeltreffend zijn, want een firewall zonder onderhoud of logging telt in de praktijk weinig. Voor een onderneming die zelf niet onder de Cyberbeveiligingswet valt, is dit meestal een klantvraag zonder wettelijke achtergrond — maar het antwoord blijft feitelijk hetzelfde.