cliente pergunta qual antivírus ou proteção de endpoint usamos

O antivírus faz parte da gestão de vulnerabilidades, não constitui uma pergunta em separado

Indicar um nome de marca geralmente não é o que se pergunta. "Qual antivírus utiliza" é quase sempre uma tradução de uma pergunta para a medida (i) do artigo 21.º, n.º 2 da Diretiva NIS2: política de gestão e análise de vulnerabilidades. O cliente quer saber se os endpoints estão estruturalmente protegidos contra malware e se essa proteção se mantém atualizada — não qual logo está na caixa. Na ISO/IEC 27001 isto aparece novamente no Anexo A, nas medidas de controlo para proteção contra malware e gestão técnica de vulnerabilidades.

O que o documento de prova geralmente deve demonstrar: que a proteção de endpoints está em execução em todos os dispositivos relevantes, que as definições ou a deteção são atualizadas automaticamente, e que existe um processo para acompanhar alertas — não apenas que o software está instalado. Uma captura de ecrã de um laptop não é prova para toda a organização; um relatório do painel de gestão da solução de endpoint, com percentagem de cobertura e estado de atualização, é. Se esse relatório faltar, a resposta não é «não» mas «ainda a fundamentar» — o dossier da cadeia não preenche então um sim sem fonte. Isto está relacionado com o processo de deteção e correção de vulnerabilidades, pois o antivírus é uma medida dentro desse processo mais amplo, não um objetivo em si. Em algumas listas de verificação, a pergunta é formulada de forma mais abrangente e enquadra-se melhor em a política de análise de risco e a proteção de sistemas de informação; verifique portanto o formato antes de preencher no bloco errado.

Onde consta na directiva e na norma

O artigo 21.º, n.º 2, alínea i) da Diretiva (UE) 2022/2555 não menciona «política e procedimentos relativos à utilização de criptografia» aqui, mas sim explicitamente «política de gestão e análise de vulnerabilidades» como uma das dez medidas; a proteção contra malware é a concretização operacional disso. Na ISO/IEC 27001 Anexo A, isto aparece novamente nas medidas de controlo para proteção contra malware e gestão de vulnerabilidades técnicas. A Lei de Cibersegurança assume as dez medidas do artigo 21.º assim que essa lei entrar em vigor.