A kérdőív tudni akarja, milyen antivírussoftvart vagy végpont-védelmet használunk

Az antivírus a sebezhetőség-kezelés része, nem önálló intézkedés

Az antivírus vagy végpont-biztonság iránti kérdés nem tartozik a NIS2-irányelv 21. cikk 2. bekezdéséből adódó külön intézkedés alá; a sebezhetőség-kezelésre és a kiberbiztonsági higiéniára vonatkozó szélesebb körű intézkedéshez tartozik. A végpont-biztonság — antivírus, EDR (endpoint detection and response) vagy hasonló szoftver laptopok és szerverek esetében — az igény technikai megvalósítása, nem pedig önálló ellenőrzési pont. Azok a kérdőívek, amelyek kifejezetten a termékmárkára kérdeznek (gondolunk a Defender, CrowdStrike, Sophos termékekre), általában azt szeretnék megtudni, hogy működik-e strukturált végpont-biztonság, nem pedig azt, hogy melyik márka pontosan.

Ha a vállalkozás konkrét terméket használ, a válasz általában egy egyszerű megerősítés, adott esetben a terméknév feltüntetésével. Ha a végpont-biztonság hiányzik néhány rendszerről, vagy a szabályzat nemrég újult meg, akkor az "nem" vagy "részben" a faktikusan helyes válasz — ez egyszerűen így van, és ezt senkinek sem kell indokolnia. Ez a kérdés gyakran ugyanabban a kérdőívben jelenik meg, mint a sebezhetőségek felderítésére és elhárítására irányuló folyamattalmivel a végpont-biztonság és a javítási szabályzat gyakran együtt kerül felülvizsgálatra. A kérdés a kyberbiztonsági higiéniében nyújtott képzéssel ezzel kapcsolódik: a szoftver önmagában sok ügyfél számára nem elegendő, azt is szeretnék tudni, hogy az alkalmazottak tudják-e, hogyan kell azt kezelni.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A NIS2-irányelv 21. cikk (2) bekezdése a tíz intézkedés között említi mind a "titkosítás használatára vonatkozó politikákat és eljárásokat", mind a sebezhetőségek kezelésére és a kibernetikai higiénia alapvető gyakorlataira vonatkozó intézkedéseket — az endpointbiztonság az utolsó kettő alá tartozik. Az ISO/IEC 27001 Annex A ezt további szabályozási intézkedésekkel dolgozza ki a kártékony szoftverek elleni védelemhez és a technikai sebezhetőségek kezeléséhez. A holland Cyberbeveiligingswet, amely az irányelvet átülteti és 2026. augusztus 15-én lép hatályba, nem változtat ezen a besoroláson; az európai szöveget nemzeti kötelezettségekre fordítja le.