o questionário pergunta se usamos firewall e antivírus, como respondo isso

Firewall e antivírus são técnica, não a resposta em si

Uma firewall e antivírus são medidas técnicas soltas, não um tema de segurança em si. Nas dez medidas do artigo 21.º n.º 2 da NIS2 e no Anexo A da ISO/IEC 27001 não aparecem como ponto separado: fazem parte de um pacote mais amplo de segurança de rede e de sistemas. Se a pergunta aparecer solta numa lista, é geralmente uma pergunta simplificada de um cliente que não trabalha com linguagem NIS2, ou uma pergunta de triagem inicial antes do resto da lista.

Responda à pergunta de forma factual: a empresa tem uma firewall e software antivírus ativo, sim ou não. Se for o caso, o dossier da cadeia pode normalmente fundamentar isso com um inventário técnico ou uma visão geral de configuração — nenhum certificado, nenhuma declaração, apenas uma constatação factual. Se esse registo estiver em falta, então "não" ou "desconhecido" é a resposta honesta; uma firewall que existe mas não está documentada em lugar nenhum não fornece um documento que permita fundamentar "sim". Observe a conexão com a política de acesso e a gestão de ativos: uma firewall sem uma visão atualizada dos sistemas conectados é na prática uma medida incompleta, e isso reaparece frequentemente em listas mais amplas como pergunta separada.

Quando isto se enquadra nas dez medidas

As firewalls e antivírus enquadram-se substancialmente nas medidas de segurança da rede e dos sistemas do artigo 21.º, n.º 2 da NIS2, e na ISO 27001 nas medidas técnicas de controlo do Anexo A. Raramente são o núcleo de uma auditoria ou avaliação; mais relevante é se a empresa avalia periodicamente se as suas medidas de segurança continuam a ser eficazes, pois uma firewall sem manutenção ou logging conta pouco na prática. Para uma empresa que não se enquadra na Lei de Cibersegurança, trata-se geralmente de uma pergunta do cliente sem base legal — mas a resposta permanece substancialmente a mesma.