el cliente pregunta si usamos antivirus o protección de endpoints

El antivirus se incluye en la gestión de vulnerabilidades, no en la ciberhigiene

El antivirus o la protección de endpoints es una medida técnica y es mejor clasificarla en gestión de vulnerabilidades o en política de acceso, no en concienciación. La protección de endpoints detecta y bloquea malware en portátiles, servidores y dispositivos móviles — esto es diferente del conjunto de diez medidas, y los clientes que lo preguntan por separado suelen querer solo confirmación de que existe un sistema activo y actualizado en todos los endpoints, no una descripción completa de tu arquitectura.

Si la empresa dispone de una solución de protección de endpoints (Defender for Endpoint, CrowdStrike, Sophos o similar) con gestión centralizada y actualizaciones automáticas, "sí" con una breve explicación es la respuesta habitual. Si falta la gestión centralizada y solo se ejecuta antivirus de consumidor aislado, entonces un "sí" tajante no es sostenible — un cliente que profundiza en esto suele querer saber si forma parte de un proceso más amplio para la identificación y corrección de vulnerabilidades, y un programa antivirus aislado sin mayor justificación no responde completamente esa pregunta. Si tienes dudas, un "no" con explicación es más honesto que un "sí" que no se sostiene en una auditoría.

De dónde surge esto: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2 de la Directiva NIS2 menciona explícitamente entre las diez medidas las buenas prácticas en ciberhigiene y seguridad de sistemas durante la adquisición, desarrollo y mantenimiento — la protección de endpoints se considera como su implementación técnica, junto con la gestión de parches. En la Norma ISO/IEC 27001 Anexo A esto aparece bajo las medidas de control para "protección contra malware" y bajo la categoría más amplia de seguridad técnica. Los clientes que hacen esta pregunta sobre la base de su propia política de acceso, incluida la gestión de activos, suelen esperar una respuesta concreta sobre cobertura (qué dispositivos) y gestión (centralizada o no), no un nombre de producto.