klient pyta, czy używamy oprogramowania antywirusowego lub ochrony punktów końcowych

Antywirus wchodzi w zakres zarządzania lukami w zabezpieczeniach, a nie higieny cybernetycznej

Antywirus lub ochrona endpointu to środek techniczny, który najlepiej umieścić w kategorii zarządzania lukami w zabezpieczeniach lub polityki dostępu, a nie świadomości. Ochrona endpointu wykrywa i blokuje malware na laptopach, serwerach i urządzeniach mobilnych — to coś innego niż dziesięć środków razem wzięte, a klienci, którzy o to pytają oddzielnie, zwykle chcą tylko potwierdzenia, że na wszystkich endpointach działa aktywny, aktualny system, a nie pełny opis twojej architektury.

Jeśli przedsiębiorstwo ma rozwiązanie endpoint protection (Defender for Endpoint, CrowdStrike, Sophos lub podobne) ze scentralizowanym zarządzaniem i automatycznymi aktualizacjami, odpowiedzią standardową jest "tak" ze zwięzłym wyjaśnieniem. Jeśli brakuje scentralizowanego zarządzania i działa tylko zbiorcze oprogramowanie antywirusowe dla konsumentów, stanowcze "tak" nie jest uzasadnione — klient, który na tym nalegać będzie, chce często wiedzieć, czy stanowi to część szerszego procesu dla wykrywania i usuwania podatności, a samodzielny program antywirusowy bez dodatkowego uzasadnienia nie odpowiada w pełni na to pytanie. Jeśli masz wątpliwości, "nie" ze wyjaśnieniem jest bardziej uczciwe niż "tak", które podczas audytu okaże się nieprawdziwe.

Gdzie to wynika: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia wśród dziesięciu środków eksplicytnie praktyki podstawowe w zakresie higieny cybernetycznej i bezpieczeństwa systemów podczas pozyskania, rozwoju i utrzymania — ochrona punktu końcowego jest postrzegana jako techniczna implementacja, wraz z zarządzaniem poprawkami. W normie ISO/IEC 27001 Załącznik A pojawia się to ponownie w ramach środków kontroli dla "ochrony przed złośliwym oprogramowaniem" i w ramach szerszej kategorii bezpieczeństwa technicznego. Klienci zadający to pytanie w związku z ich własnym polityka dostępu, w tym zarządzanie zasobami organizacyjnymi, zwykle oczekują konkretnej odpowiedzi dotyczącej zakresu (które urządzenia) i zarządzania (centralne czy nie), a nie nazwy produktu.

Na czym to się opiera

Sama rozporządzenie znajduje się na EUR-Lex. Powołujemy się na każde stwierdzenie; nie musisz nam wierzyć.

Co konkretnie musisz zrobić

Szczegóły dla każdego obowiązku, wraz z mającymi zastosowanie terminami i szablonami do ich dokumentacji, znajdują się w subskrypcji.

Zapoznaj się z subskrypcją Najpierw bezpłatny szybki przegląd

To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.