kunde spørger, hvilken antivirus eller endpointbeskyttelse vi bruger

Antivirus hører under sårbarhedsstyring, ikke under et eget spørgsmål

At angive et mærkenavn er normalt ikke det, der spørges om. "Hvilken antivirus bruger I" er næsten altid en oversættelse af et spørgsmål til foranstaltning (i) i artikel 21, stk. 2, NIS2: politik for sårbarhedsstyring og -analyse. Kunden ønsker at vide, om endpoints strukturelt er beskyttet mod malware, og om denne beskyttelse holdes ajour — ikke hvilket logo der står på kassen. I ISO/IEC 27001 fremgår dette af Annex A under kontrolforanstaltningerne for beskyttelse mod malware og for teknisk sårbarhedsstyring.

Hvad dokumentationen normalt skal vise: at der køres endpoint-sikkerhed på alle relevante enheder, at definitioner eller detektion opdateres automatisk, og at der findes en proces til at følge op på meldinger — ikke blot at softwaren er installeret. Et screenshot fra én laptop er ikke dokumentation for hele organisationen; en oversigt fra bedelingspanelet på endpoint-løsningen, med dækningsprocent og opdateringsstatus, er det. Hvis denne oversigt mangler, er svaret ikke "nej" men "skal underbygges yderligere" — ketendossieren fylder da ikke "ja" ud uden kilde. Dette hænger sammen med processen for identificering og udbedring af sårbarheder, fordi antivirus er én foranstaltning inden for denne bredere proces, ikke et mål i sig selv. I nogle spørgeskemaer formuleres spørgsmålet bredere og falder det snarere under politikken for risikoanalyse og beskyttelse af informationssystemer; tjek derfor formatet, før du udfylder under det forkerte afsnit.

Hvor det står i direktivet og normen

Artikel 21, stk. 2, litra i, i Direktiv (EU) 2022/2555 nævner "politik og procedurer vedrørende anvendelse af kryptografi" ikke her, men nævner eksplicit "politik inzake sårbarhedsstyring og -analyse" som én af ti foranstaltninger; malwarebeskyttelse er den operationelle udfyldelse heraf. I ISO/IEC 27001 Annex A fremgår dette under kontrolforanstaltningerne for malwarebeskyttelse og for styring af tekniske sårbarheder. Cybersikkerhedsloven overtager de ti foranstaltninger fra artikel 21, så snart denne lov træder i kraft.