Dotazník sa pýta na antivirussoftware alebo endpoint protection, čo mám povedať

Ochrana koncových bodov spadá pod kybernetickú hygienu, nie pod vlastné opatrenie

Antivirusový softvér alebo ochrana koncových bodov nie je uvedená ako samostatná časť v článku 21 ods. 2 NIS2. Spadá pod základné postupy kybernetickej hygieny (časť g) a pod správu zraniteľností (časť e). V ISO 27001 sa nachádza v Prílohe A medzi kontrolnými opatreniami na ochranu pred malvérom a technickými zraniteľnosťami. Konkrétne: uveďte produkt alebo typ (napr. EDR s centrálnym riadením alebo bežné antivirusové riešenie), povedzte, či sa nachádza na všetkých koncových bodoch — serveroch, pracovných staniciach, prenosných počítačoch — a či sú aktualizácie a skeny vynucované centrálne alebo na jednotlivých zariadeniach.

Ak koncová ochrana chýba na časti systémov, odpoviete na to "nie" a nie "áno, s výnimkou". Dotazníky zriedka poskytujú priestor na nuansy a čiastočné "áno" sa pre klienta nedá rozlíšiť od úplného "áno". Ak máte EDR alebo antivirusové riešenie, ale nemáte doklad, ako je prehľad konfigurácie alebo vyhlásenie dodávateľa, je to často moment na to, aby ste sa pozreli, či existuje proces na identifikáciu a nápravu zraniteľností — ochrana koncových bodov a správa záplat sa v rovnakom otázke často chápajú spoločne, a odpoveď na jednu otázku potom nie je možné oddeliť od odpovede na druhú.

Kde to spadá: článok 21 odsek 2 a príloha A

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 uvádza pod písmenom g základné postupy kybernetickej hygieny ako povinnej súčasti riadenia rizík a pod písmenom e politiky a postupy na riadenie zraniteľností — ochrana koncových bodov je v podrobnostiach NIS2 uvedená ako príklad takéhoto postupu. V ISO/IEC 27001 Príloha A je ochrana pred malvérom uvedená ako samostatný opatrenie na kontrolu, nezávisle od širšieho opatrenia na riadenie zraniteľností. Pre holandské podniky podliehajúce Zákonu o kybernetickej bezpečnosti platí rovnaké delenie ako v smernici NIS2, pretože tento zákon smernicu transpozuje. Ak si nie si istý, či sa tvoj podnik pod túto smernicu podriaduje, je to samostatná otázka, ktorú si môžeš overiť u alebo či podnik sám spadá pod smernicu NIS2 — to totiž určuje, či je to pre teba zákonnou povinnosťou alebo len otázkou tvojho zákazníka.