il questionario chiede se usiamo un firewall e antivirus, come rispondo

Firewall e antivirus sono tecniche, non la risposta in sé

Un firewall e un antivirus sono misure tecniche separate, non un argomento di sicurezza a sé stante. Nelle dieci misure dell'articolo 21 comma 2 NIS2 e nell'Annex A della ISO/IEC 27001 non compaiono come punto separato: sono parte di un pacchetto più ampio di sicurezza della rete e dei sistemi. Se la domanda compare isolatamente in un elenco, di solito si tratta di una domanda semplificata di un cliente che non utilizza personalmente il linguaggio NIS2, oppure di una domanda di screening iniziale prima che segua il resto dell'elenco.

Rispondi alla domanda in modo fattuale: l'azienda dispone di un firewall e di un software antivirus attivi, sì o no. Se è così, il fascicolo della catena può di solito corroborarlo con un inventario tecnico o una panoramica della configurazione — nessun certificato, nessuna dichiarazione, solo una constatazione fattuale. Se tale documentazione manca, allora "no" o "sconosciuto" è la risposta onesta; un firewall che c'è ma non è documentato da nessuna parte non produce un documento con cui puoi corroborare il "sì". Presta attenzione al collegamento con la politica di accesso e la gestione dei beni aziendali": un firewall senza una panoramica attuale dei sistemi collegati è nella pratica una misura parziale, e questo spesso emerge ancora come domanda separata negli elenchi più ampi.

Laddove rientra tra le dieci misure

I firewall e l'antivirus rientrano sostanzialmente nelle misure di sicurezza della rete e dei sistemi di cui all'articolo 21, paragrafo 2, NIS2, e in ISO 27001 tra le misure tecniche di controllo dell'Allegato A. Raramente sono il nucleo di un audit o di una valutazione; più rilevante è se l'organizzazione verifica periodicamente se le sue misure di sicurezza sono ancora efficaci, poiché un firewall senza manutenzione o logging ha in pratica scarsa rilevanza. Per un'organizzazione che non rientra autonomamente nella Cybersecurity Act, questa è solitamente una domanda del cliente senza fondamento normativo — ma la risposta rimane fattualmente la stessa.