Fragebogen möchte wissen, welches Antivirus- oder Endpoint-Schutzsystem wir verwenden

Antivirus ist Teil der Schwachstellenverwaltung, keine eigenständige Maßnahme

Die Frage nach Antivirus oder Endpunktschutz fällt nicht unter eine eigene NIS2-Maßnahme; sie gehört zur umfassenderen Maßnahme zur Schwachstellenverwaltung und Cyberhygiene aus Artikel 21 Absatz 2 der NIS2-Richtlinie. Endpunktschutz — Antivirus, EDR (Endpoint Detection and Response) oder ähnliche Software auf Laptops und Servern — ist eine technische Umsetzung dieser Anforderung, kein separater Bewertungspunkt. Fragelisten, die speziell nach der Produktmarke fragen (wie Defender, CrowdStrike, Sophos), möchten in der Regel wissen, ob strukturell Endpunktschutz läuft, nicht welche Marke genau.

Wenn das Unternehmen ein konkretes Produkt nutzt, ist die Antwort in der Regel eine einfache Bestätigung gegebenenfalls mit Produktnamen. Fehlt Endpunktschutz auf einigen Systemen, oder wurde die Richtlinie gerade erneuert, dann ist "nein" oder "teilweise" die faktisch richtige Antwort — das ist dann einfach so, und niemand muss das schönreden. Diese Frage steht oft in derselben Frageliste wie dem Prozess zur Erkennung und Behebung von Schwachstellen, weil Endpunktschutz und Patchrichtlinie oft zusammen bewertet werden. Auch die Frage nach Schulung in Cyberhygiene hängt damit zusammen: Software allein ist für viele Kunden nicht ausreichend, sie möchten auch wissen, ob Mitarbeiter wissen, wie man damit umgeht.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt unter den zehn Maßnahmen sowohl "Richtlinien und Verfahren für die Verwendung von Kryptografie" als auch Maßnahmen zur Schwachstellenverwaltung und Grundpraktiken der Cyberhygiene — Endpunktschutz fällt unter die letztgenannten beiden. ISO/IEC 27001 Anhang A führt dies weiter aus mit Sicherheitsmaßnahmen zum Schutz vor Malware und zur technischen Schwachstellenverwaltung. Das niederländische Cybersicherheitsgesetz, das die Richtlinie umsetzt und am 15. August 2026 in Kraft tritt, ändert nichts an dieser Einteilung; es übersetzt den europäischen Text in nationale Verpflichtungen.