la liste de questions demande un logiciel antivirus ou une protection des points de terminaison, que dois-je dire

La protection des terminaux relève de l'hygiène de la cybersécurité, non d'une mesure distincte

Les logiciels antivirus ou la protection des terminaux ne figurent pas comme élément distinct à l'article 21, paragraphe 2, de la directive NIS2. Ils relèvent des pratiques de base en matière d'hygiène de la cybersécurité (point g) et de la gestion des vulnérabilités (point e). Dans la norme ISO 27001, ils se trouvent à l'annexe A parmi les mesures de maîtrise relatives aux logiciels malveillants et aux vulnérabilités techniques. Concrètement : nommez le produit ou le type (par ex. EDR avec gestion centralisée, ou une solution antivirus classique), précisez s'il est installé sur tous les terminaux — serveurs, postes de travail, ordinateurs portables — et si les mises à jour et les analyses sont appliquées de manière centralisée ou par appareil.

Si la protection des terminaux manque sur une partie des systèmes, vous répondez « non » et non « oui, à l'exception de ». Les questionnaires laissent rarement place à la nuance, et un « oui » partiel ne se distingue pas, pour un client, d'un « oui » complet. Si vous disposez d'une solution EDR ou antivirus mais que vous n'avez pas de pièce justificative telle qu'un aperçu de la configuration ou une déclaration du fournisseur, c'est souvent le moment d'examiner si il existe un processus de détection et de correction des vulnérabilités — la protection des terminaux et la gestion des correctifs sont souvent traités ensemble dans la même question, et la réponse à une question ne peut alors être séparée de l'autre.

Où cela s'inscrit : article 21 paragraphe 2 et Annexe A

L'article 21, paragraphe 2, de la directive (UE) 2022/2555 mentionne au point g les pratiques de base en matière d'hygiène de la cybersécurité comme élément obligatoire de la gestion des risques, et au point e la politique et les procédures de gestion des vulnérabilités — la protection des terminaux est mentionnée dans l'explication relative à NIS2 comme exemple d'une telle pratique. Dans l'annexe A de la norme ISO/IEC 27001, la protection contre les logiciels malveillants figure comme mesure de maîtrise distincte, indépendamment de la mesure plus large relative aux vulnérabilités. Pour les entreprises néerlandaises relevant de la Loi sur la cybersécurité, la même classification s'applique que dans la directive NIS2, car cette loi transpose la directive. Si vous doutez que votre entreprise en relève, c'est une question distincte que vous pouvez examiner auprès de ou si l'entreprise elle-même relève de la directive NIS2 — cela détermine en effet si c'est une obligation légale pour vous ou simplement une question de votre client.