il questionario chiede informazioni su software antivirus o protezione degli endpoint cosa rispondo

La protezione degli endpoint rientra nell'igiene informatica, non in una misura separata

Il software antivirus o la protezione degli endpoint non figurano come elemento autonomo nell'articolo 21 paragrafo 2 della NIS2. Rientrano nelle pratiche di base per l'igiene informatica (lettera g) e nella gestione delle vulnerabilità (lettera e). Secondo la ISO 27001 sono inclusi nell'Allegato A tra le misure di controllo per il malware e le vulnerabilità tecniche. In concreto: indicare il prodotto o il tipo (ad esempio EDR con gestione centralizzata, oppure una soluzione antivirus tradizionale), specificare se è installato su tutti gli endpoint — server, workstation, laptop — e se gli aggiornamenti e le scansioni sono imposti centralmente o per singolo dispositivo.

Se manca la protezione degli endpoint su parte dei sistemi, rispondi "no" e non "sì, con eccezioni". I questionari lasciano raramente spazio alla sfumatura, e un "sì" parziale per un cliente è indistinguibile da un "sì" completo. Se hai una soluzione EDR o antivirus ma non possiedi documenti di prova come un resoconto di configurazione o una dichiarazione del fornitore, spesso è il momento di verificare se esiste un processo per individuare e correggere le vulnerabilità — la protezione degli endpoint e la gestione delle patch nella stessa domanda sono spesso intese insieme, e la risposta a una domanda non può essere considerata separatamente dall'altra.

Dove rientra questo: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 elenca sotto la lettera g le pratiche di base per l'igiene informatica come elemento obbligatorio della gestione del rischio, e sotto la lettera e la politica e le procedure per la gestione delle vulnerabilità — la protezione degli endpoint è citata nelle linee guida della NIS2 come esempio di tale pratica. Nella ISO/IEC 27001 Allegato A la protezione contro il malware figura come misura di controllo separata, distinta dalla più ampia misura sulla gestione delle vulnerabilità. Per le imprese olandesi che rientreranno nella Cybersecurity Act, vale la stessa classificazione della Direttiva NIS2, poiché tale legge recepisce la direttiva. Se hai dubbi sul fatto che la tua impresa vi rientri, è una questione separata che puoi verificare presso se l'azienda stessa rientra nella direttiva NIS2 — questo determina infatti se per te è un obbligo legale o semplicemente una domanda del tuo cliente.