el cuestionario pregunta qué antivirus o protección de endpoint utilizamos

La protección de endpoints se incluye en la higiene cibernética, no en la gestión de vulnerabilidades

La pregunta sobre el escáner de virus o la solución de protección de endpoints utilizada es una subpregunta dentro de la medida más amplia de higiene cibernética y formación en seguridad del artículo 21, apartado 2 de la Directiva NIS2. La respuesta depende únicamente de lo que realmente está en funcionamiento: si hay una solución de protección de endpoints activa en estaciones de trabajo y servidores, la respuesta es "sí" junto con el nombre del proveedor. Sin tal solución, o solo con Windows Defender integrado sin gestión centralizada, la respuesta es más matizada — hay protección básica, pero no hay una visión centralizada ni informes.

Muchos clientes no hacen esta pregunta para conocer la marca, sino para comprobar si hay gestión centralizada: ¿se pueden detectar y aislar las infecciones?, ¿hay visibilidad del estado de todos los endpoints? Esto también guarda relación con el proceso de identificación y corrección de vulnerabilidadesla gestión de vulnerabilidades, ya que la protección de endpoints suele ser la primera capa que señala una vulnerabilidad antes de que sea explotada. Quien aquí pone "sí" sin una solución gestionada centralmente debe poder justificarlo con lo que realmente existe: un antivirus independiente en cada máquina no es una mentira, pero tampoco es una respuesta completa a lo que normalmente se pretende.

Dónde encaja esto en las diez medidas y en ISO 27001

El artículo 21, apartado 2 de la Directiva NIS2 menciona la higiene cibernética y la formación en seguridad como una de las diez medidas, sin mencionar explícitamente la protección de endpoints — es una concreción de esa medida, al igual que las prácticas básicas más amplias que se incluyen en formación en ciberhigiene la Directiva. En ISO/IEC 27001 Anexo A, la protección contra malware aparece como una medida de control independiente, separada de la medida de formación. Un cliente que utiliza ISO 27001 como marco de referencia puede esperar por tanto una respuesta más precisa que un cliente que solo utiliza las diez medidas de la Ley de Ciberseguridad como lista de verificación.