spørgeskemaet ønsker at vide, hvilken antivirus eller endpoint protection vi bruger

Antivirus er en del af sårbarhedsstyring, ikke en selvstændig foranstaltning

Spørgsmålet om antivirus eller endpointbeskyttelse falder ikke under en separat NIS2-foranstaltning; det hører til under den bredere foranstaltning om sårbarhedsstyring og cyberhygiejne fra artikel 21, stk. 2 i NIS2-direktivet. Endpointbeskyttelse — antivirus, EDR (endpoint detection and response) eller tilsvarende software på bærbare computere og servere — er en teknisk implementering af dette krav, ikke et separat vurderingspunkt. Spørgelister, der specifikt spørger efter produktmærket (f.eks. Defender, CrowdStrike, Sophos), ønsker normalt at vide, om der køres strukturel endpointbeskyttelse, ikke hvilket særligt mærke der bruges.

Hvis virksomheden anvender et konkret produkt, er svaret normalt en simpel bekræftelse med eventuelt produktnavnet. Hvis endpointbeskyttelsen mangler på nogle systemer, eller hvis politikken lige er blevet fornyet, så er "nej" eller "delvis" det faktisk korrekte svar — sådan er det bare, og det behøver ikke at blive begrundet. Dette spørgsmål står ofte i samme spørgeliste som processen for identificering og udbedring af sårbarheder, fordi endpointbeskyttelse og patchpolitik ofte vurderes sammen. Spørgsmålet om træning i cyberhygiejne hænger også sammen hermed: software alene er for mange kunder ikke tilstrækkeligt; de ønsker også at vide, om medarbejdere ved, hvordan de skal bruge det.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2 i NIS2-direktivet nævner blandt de ti foranstaltninger både "politikker og procedurer vedrørende brugen af kryptografi" og foranstaltninger til sårbarhedsstyring og basispraktikker inden for cyberhygiejne — endpointbeskyttelse falder under de to sidstnævnte. ISO/IEC 27001 bilag A udvikler dette videre med kontrolforanstaltninger til beskyttelse mod malware og teknisk sårbarhedsstyring. Den hollandske cybersikkerhedslov, der implementerer direktivet og træder i kraft den 15. august 2026, ændrer intet ved denne inddeling; den oversætter den europæiske tekst til nationale forpligtelser.