Fragensammlung fragt, welche Antivirus oder Endpoint Protection wir verwenden

Endpoint Protection fällt unter Cyberhygiene, nicht unter Schwachstellenmanagement

Die Frage nach dem verwendeten Virenscanner oder Endpoint Protection ist eine Teilfrage unter der umfassenderen Maßnahme Cyberhygiene und Sicherheitsschulung aus Artikel 21 Absatz 2 NIS2. Die Antwort hängt rein davon ab, was tatsächlich läuft: Wenn eine Endpoint-Protection-Lösung aktiv auf Arbeitsstationen und Servern vorhanden ist, ist "ja" mit dem Namen des Anbieters die Antwort. Ohne eine solche Lösung oder nur mit dem integrierten Windows Defender ohne zentrale Verwaltung ist die Antwort differenzierter — dann gibt es zwar Basisschutz, aber keine zentrale Übersicht oder Berichterstattung.

Viele Kunden fragen das nicht, um den Markennamen zu erfahren, sondern um zu prüfen, ob es zentrale Verwaltung gibt: Können Infektionen erkannt und isoliert werden, und besteht eine Übersicht über den Status aller Endpoints. Das betrifft auch dem Prozess zur Erkennung und Behebung von Schwachstellen, denn Endpoint Protection ist oft die erste Schicht, die eine Schwachstelle signalisiert, bevor sie ausgenutzt wird. Wer hier "ja" ankreuzt ohne zentral verwaltete Lösung, muss das untermauern können mit dem, was tatsächlich vorhanden ist: Antivirus auf einzelnen Geräten ist keine Unwahrheit, aber auch keine vollwertige Antwort auf das, was in der Regel gemeint ist.

Wo dies unter den zehn Maßnahmen und in ISO 27001 fällt

Artikel 21 Absatz 2 NIS2 nennt Cyberhygiene und Sicherheitsschulung als eine der zehn Maßnahmen, ohne Endpoint Protection ausdrücklich zu erwähnen — es ist eine Ausgestaltung dieser Maßnahme, ebenso wie die weiter gefassten Grundpraktiken, die darunter Schulung in Cyberhygiene fallen. In ISO/IEC 27001 Anlage A ist Malwareschutz als eigenständige Kontrollmaßnahme aufgeführt, unabhängig von der Schulungsmaßnahme. Ein Kunde, der ISO 27001 als Referenzrahmen nutzt, erwartet möglicherweise also eine präzisere Antwort als ein Kunde, der nur die zehn Maßnahmen des Cybersicherheitsgesetzes als Checkliste verwendet.