Wie zeige ich, dass alle unsere Laptops gesichert sind

Virenschutzprogramme sind Teil der Cyberhygiene, nicht eine eigenständige Frage

"Alle Laptops haben ein Virenschutzprogramm" ist normalerweise eine Teilfrage in einer breiteren Frage zu Grundpraktiken der Cyberhygiene. Endpoint-Schutz (die Fachbezeichnung für Virenschutzprogramme, Malware-Erkennung und manchmal EDR auf Laptops) ist eine der Maßnahmen, die Kunden prüfen als Teil von Schulung in Grundpraktiken der Cyberhygiene, und überlappt mit dem breiteren Zugangsregelung und Verwaltung von Vermögenswerten — denn ohne einen Überblick über welche Laptops vorhanden sind, kannst du nicht nachweisen, dass sie alle geschützt sind.

Das Beweismaterial, das Kunden hier normalerweise sehen möchten, ist ein Export aus deinem Endpoint-Management-System (Intune, Jamf, CrowdStrike oder ähnlich) mit dem Status des Virenschutzprogramms pro Laptop: aktiv, letztes Update, letzter Scan. Ein Screenshot eines Laptops ist kein Beweis für die gesamte Flotte; ein Dashboard-Überblick mit allen Geräten hingegen schon. Hast du kein zentrales Management, dann ist die ehrlichste Antwort, dass du dies auf Flottenniveau noch nicht nachweisen kannst — das ist etwas anderes als "nein, wir tun nichts", und diesen Unterschied darfst du auch so in dem Portal deines Kunden erläutern.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt Cyberhygiene und Sicherheitsschulung ausdrücklich als eine der zehn verbindlichen Maßnahmen für Einheiten, die unter die Richtlinie fallen; Endpoint-Schutz fällt in der Praxis unter diese Kategorie. ISO/IEC 27001 arbeitet dies in Annex A weiter aus, mit spezifischen Kontrollmaßnahmen für Malware-Schutz und Geräteverwaltung — daher fragen Kunden mit ISO-Hintergrund oft etwas andere Beweise an als Kunden, die sich direkt auf den NIS2-Text beziehen. Falls du selbst nicht unter die Richtlinie fällst, kann es hilfreich sein, dies zunächst über oder ob das Unternehmen selbst unter die NIS2-Richtlinie fälltzu prüfen, denn das bestimmt, wie gewichtig dieser Beweis sein muss.