vragenlijst wil weten welke antivirus of endpointbeveiliging wij gebruiken

Antivirus is onderdeel van kwetsbaarhedenbeheer, geen losse maatregel

De vraag naar antivirus of endpointbeveiliging valt niet onder een eigen NIS2-maatregel; hij hoort bij de bredere maatregel over kwetsbaarhedenbeheer en cyberhygiëne uit artikel 21 lid 2 van de NIS2-richtlijn. Endpointbeveiliging — antivirus, EDR (endpoint detection and response), of vergelijkbare software op laptops en servers — is een technische invulling van die eis, geen apart toetsingspunt. Vragenlijsten die specifiek naar het productmerk vragen (denk aan Defender, CrowdStrike, Sophos) willen meestal weten of er structureel endpointbeveiliging draait, niet welk merk precies.

Als de onderneming een concreet product gebruikt, is het antwoord meestal een simpele bevestiging met eventueel de productnaam. Ontbreekt endpointbeveiliging op sommige systemen, of is het beleid net vernieuwd, dan is "nee" of "deels" het feitelijk juiste antwoord — dat is dan gewoon zo, en dat hoeft niemand goed te praten. Deze vraag staat vaak in dezelfde vragenlijst als het proces voor het opsporen en verhelpen van kwetsbaarheden, omdat endpointbeveiliging en patchbeleid vaak samen worden beoordeeld. Ook de vraag naar training in cyberhygiëne hangt hiermee samen: software alleen is voor veel klanten niet genoeg, ze willen ook weten of medewerkers weten hoe ze ermee omgaan.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt onder de tien maatregelen zowel "beleid en procedures betreffende het gebruik van cryptografie" als maatregelen voor kwetsbaarhedenbeheer en basispraktijken op het gebied van cyberhygiëne — endpointbeveiliging valt onder die laatste twee. ISO/IEC 27001 Annex A werkt dit verder uit met beheersmaatregelen voor bescherming tegen malware en voor technische kwetsbaarhedenbeheer. De Nederlandse Cyberbeveiligingswet, die de richtlijn omzet en per 15 augustus 2026 in werking treedt, verandert niets aan deze indeling; ze vertaalt de Europese tekst naar nationale verplichtingen.