frågelistan frågar om antivirussoftware eller endpoint protection vad säger jag

Slutpunktsskydd faller under cyberhygien, inte under en egen åtgärd

Antivirusprogramvara eller endpoint protection är inte en separat del i artikel 21 stycke 2 NIS2. Det faller under grundläggande cyberhygienmetoder (del g) och under sårbarhetshantering (del e). I ISO 27001 finns det i Bilaga A under kontrollåtgärder för skadlig kod och tekniska sårbarheter. Konkret: namnge produkten eller typen (t.ex. EDR med centraliserad hantering eller en vanlig antiviruslösning), ange om den finns på alla slutpunkter — servrar, arbetsstationer, bärbara datorer — och om uppdateringar och skanningar tillämpas centraliserat eller per enhet.

Om slutpunktsskydd saknas på en del av systemen, besvarar du "nej" på det, inte "ja, med undantag av". Enkäter ger sällan utrymme för nyans, och ett delvis "ja" är inte möjligt för en kund att skilja från ett fullständigt "ja". Om du har en EDR- eller antiviruslösning men saknar dokumentation som en konfigurationsöversikt eller leverantörsdeklaration, är detta ofta tillfället att kontrollera om det finns en process för att identifiera och åtgärda sårbarheter — slutpunktsskydd och patchhantering avses ofta tillsammans i samma fråga, och då är svaret på den ena frågan inte oberoende av den andra.

Var detta faller: artikel 21 stycke 2 och Bilaga A

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 nämner under g grundläggande cyberhygienmetoder som en obligatorisk del av riskhanteringen, och under e policy och procedurer för sårbarhetshantering — slutpunktsskydd nämns i NIS2-förklaringen som ett exempel på sådan metod. I ISO/IEC 27001 Bilaga A är skyddet mot skadlig kod en separat kontrollåtgärd, skild från den bredare sårbarhetsåtgärden. För nederländska företag som omfattas av cybersäkerhetslag gäller samma klassificering som i NIS2-direktivet, eftersom denna lag implementerar direktivet. Om du är osäker på om ditt företag omfattas bör du kontrollera detta separat hos eller om företaget självt omfattas av NIS2-direktivet — det avgör nämligen om detta är en laglig skyldighet för dig eller bara en fråga från din kund.