el cuestionario pregunta si utilizamos firewall y antivirus, ¿cómo respondo

Firewall y antivirus son técnica, no la respuesta en sí

Un firewall y un antivirus son medidas técnicas aisladas, no un tema de seguridad independiente. En las diez medidas del artículo 21, apartado 2, NIS2 y en el Anexo A de ISO/IEC 27001 no aparecen como un punto separado: forman parte de un conjunto más amplio de seguridad de redes y sistemas. Si la pregunta aparece suelta en una lista, suele ser una pregunta simplificada de un cliente que no trabaja con la terminología NIS2, o una pregunta de cribado inicial antes de que llegue el resto de la lista.

Responda la pregunta de manera objetiva: ¿tiene la empresa un cortafuegos y software antivirus activos, sí o no? Si es así, el expediente de la cadena puede respaldar esto generalmente con un inventario técnico o una descripción de la configuración — ningún certificado, ninguna declaración, solo una constatación de hecho. Si falta ese registro, entonces "no" o "desconocido" es la respuesta honrada; un cortafuegos que existe pero que no está documentado en ningún lugar no proporciona prueba con la que pueda respaldar "sí". Preste atención a la conexión con la política de acceso y la gestión de activos" — un cortafuegos sin un inventario actual de sistemas conectados es en la práctica una medida incompleta, y eso vuelve a aparecer en listas más amplias a menudo como pregunta independiente.

Donde esto se incluya dentro de las diez medidas

Los cortafuegos y antivirus se enmarcan sustancialmente en las medidas de seguridad de redes y sistemas del artículo 21, apartado 2, NIS2, y en ISO 27001 en las medidas técnicas de control del Anexo A. Rara vez son el núcleo de una auditoría o evaluación; lo más relevante es si la empresa evalúa periódicamente si sus medidas de seguridad siguen siendo eficaces, porque un cortafuegos sin mantenimiento ni registro cuenta poco en la práctica. Para una empresa que no está sujeta a la Ley de Ciberseguridad, suele ser una pregunta del cliente sin base legal — pero la respuesta sigue siendo de hecho la misma.