въпросникът пита дали използваме firewall и антивирус, как да отговоря на това

Защитната стена и антивирусът са техника, а не отговорът сам по себе си

Защитната стена и антивирусът са отделни технически мерки, а не независим предмет на защита. В десетте мерки на член 21, параграф 2 NIS2 и в Приложение A на ISO/IEC 27001 те не се появяват като отделна точка: те са част от по-широк пакет от мерки за защита на мрежата и системата. Ако въпросът е самостоятелен в списък, той обикновено е опростен въпрос от клиент, който сам не работи с NIS2-терминология, или е преглед преди остатъка от списъка да последва.

Отговорете на въпроса фактически: има ли предприятието активна защитна стена и антивирусен софтуер, да или не. Ако е така, кетендосието обикновено може да подкрепи това с техническа инвентаризация или преглед на конфигурацията — без сертификат, без декларация, само фактическо установяване. Ако този документ липсва, тогава "не" или "неизвестно" е честният отговор; защитна стена, която е налице, но никъде не е документирана, не предоставя документ, с който да можете да подкрепите "да". Обърнете внимание на връзката с политиката за достъп и управлението на активите: firewall без актуален преглед на свързаните системи е на практика частична мярка, и това често се появява отново в по-широки списъци като отделен въпрос.

Когато това попада в рамките на десетте мерки

Защитните стени (firewalls) и антивирусът попадат по съдържание под мерките за мрежова и системна сигурност от член 21, параграф 2 на NIS2 и в ISO 27001 под техническите управленски мерки на Приложение A. Те рядко са в основата на одит или проверка; по-уместно е дали предприятието периодично проверява дали мерките й за сигурност остават ефективни, тъй като защитна стена без поддръжка или регистриране на практика има малко значение. За предприятие, което само по себе си не е подчинено на Закона за киберсигурността, обикновено това е въпрос от клиента без законово основание — но отговорът остава по същество същия.