el cuestionario quiere saber qué antivirus o protección de endpoint utilizamos

El antivirus es parte de la gestión de vulnerabilidades, no una medida independiente

La pregunta sobre antivirus o protección de endpoints no se incluye en una medida NIS2 separada; forma parte de la medida más amplia sobre gestión de vulnerabilidades e higiene cibernética del artículo 21, apartado 2 de la Directiva NIS2. La protección de endpoints —antivirus, EDR (endpoint detection and response) o software similar en portátiles y servidores— es una implementación técnica de ese requisito, no un punto de evaluación separado. Los cuestionarios que solicitan específicamente la marca del producto (como Defender, CrowdStrike, Sophos) generalmente desean saber si existe protección de endpoints estructurada, no qué marca exacta se utiliza.

Si la empresa utiliza un producto concreto, la respuesta es generalmente una simple confirmación, posiblemente con el nombre del producto. Si falta protección de endpoints en algunos sistemas, o la política acaba de renovarse, entonces "no" o "parcialmente" es la respuesta realmente correcta —así es simplemente, y nadie necesita justificarlo. Esta pregunta aparece a menudo en el mismo cuestionario que el proceso de identificación y corrección de vulnerabilidadesporque la protección de endpoints y la política de parches a menudo se evalúan conjuntamente. La pregunta sobre formación en ciberhigiene también está relacionada con esto: para muchos clientes, el software solo no es suficiente, también desean saber si los empleados saben cómo utilizarlo.

Procedencia: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2 de la Directiva NIS2 menciona entre las diez medidas tanto "políticas y procedimientos relativos al uso de la criptografía" como medidas para la gestión de vulnerabilidades y prácticas básicas de higiene cibernética —la protección de endpoints se incluye en estas dos últimas. ISO/IEC 27001 Annex A desarrolla esto más con controles para la protección contra malware y la gestión técnica de vulnerabilidades. La Ley holandesa de Ciberseguridad, que transpone la directiva y entrará en vigor el 15 de agosto de 2026, no cambia esta clasificación; traduce el texto europeo en obligaciones nacionales.