le questionnaire demande si nous utilisons un pare-feu et un antivirus, comment dois-je répondre

Le pare-feu et l'antivirus sont des techniques, et non la réponse en soi

Un pare-feu et un antivirus sont des mesures techniques isolées, et non un sujet de sécurité autonome. Dans les dix mesures de l'article 21, paragraphe 2, de la directive NIS2 et dans l'annexe A de la norme ISO/IEC 27001, ils ne figurent pas comme un point séparé : ils font partie d'un ensemble plus large de mesures de sécurité des réseaux et des systèmes. Si la question figure isolément dans une liste, il s'agit généralement d'une question simplifiée d'un client qui n'utilise pas lui-même le langage NIS2, ou d'une question de sélection préalable avant le reste de la liste.

Répondez à la question factuellement : l'entreprise dispose-t-elle d'un pare-feu et d'un logiciel antivirus actifs, oui ou non. Si c'est le cas, le dossier de chaîne peut généralement l'étayer par un inventaire technique ou un aperçu de la configuration — pas de certificat, pas de déclaration, seulement une constatation factuelle. En l'absence de cette documentation, « non » ou « inconnu » est la réponse honnête ; un pare-feu qui existe mais n'est documenté nulle part ne fournit pas de pièce justificative avec laquelle vous pouvez étayer un « oui ». Faites attention à la connexion avec la politique d'accès et de la gestion des actifs: un pare-feu sans vue d'ensemble actuelle des systèmes connectés est dans la pratique une demi-mesure, et cela réapparaît souvent dans des listes plus larges comme question séparée.

Lorsque cela relève des dix mesures

Les pare-feu et les antivirus relèvent substantiellement des mesures de sécurité des réseaux et des systèmes prévues à l'article 21, paragraphe 2, de la NIS2, et dans la norme ISO 27001 des mesures de contrôle technique de l'annexe A. Ils sont rarement au cœur d'un audit ou d'une évaluation ; ce qui est plus pertinent est de savoir si l'entreprise évalue régulièrement l'efficacité de ses mesures de sécurité, car un pare-feu sans maintenance ou journalisation compte peu dans la pratique. Pour une entreprise qui ne relève pas elle-même de la Loi sur la cybersécurité, il s'agit généralement d'une question client sans fondement légal — mais la réponse reste factuellement la même.