klant vraagt welke antivirus of endpointbeveiliging wij gebruiken

Antivirus valt onder kwetsbaarhedenbeheer, niet onder een eigen vraag

Een merknaam invullen is meestal niet de vraag. "Welke antivirus gebruikt u" is bijna altijd een vertaling van een vraag naar maatregel (i) van artikel 21 lid 2 NIS2: beleid inzake kwetsbaarhedenbeheer en -analyse. De klant wil weten of endpoints structureel beschermd zijn tegen malware en of die bescherming actueel blijft — niet welk logo op de doos staat. Bij ISO/IEC 27001 komt dit terug in Annex A, onder de beheersmaatregelen voor bescherming tegen malware en voor technisch kwetsbaarhedenbeheer.

Wat het bewijsstuk meestal moet laten zien: dat er endpoint-beveiliging draait op alle relevante apparaten, dat definities of detectie automatisch worden bijgewerkt, en dat er een proces is om meldingen op te volgen — niet alleen dat de software geïnstalleerd staat. Een schermafdruk van één laptop is geen bewijs voor de hele organisatie; een overzicht uit het beheerpaneel van de endpoint-oplossing, met dekkingspercentage en updatestatus, is dat wel. Ontbreekt dat overzicht, dan is het antwoord niet "nee" maar "nog te onderbouwen" — het ketendossier vult dan geen ja in zonder bron. Dit hoort samen met het proces voor het opsporen en verhelpen van kwetsbaarheden, want antivirus is één maatregel binnen dat bredere proces, niet een doel op zich. Bij sommige vragenlijsten wordt de vraag breder gesteld en valt hij eerder onder het beleid voor risicoanalyse en de beveiliging van informatiesystemen; check dus het format voordat je onder het verkeerde blok invult.

Waar dat in de richtlijn en de norm staat

Artikel 21 lid 2 onder i van Richtlijn (EU) 2022/2555 noemt "beleid en procedures betreffende het gebruik van cryptografie" niet hier, maar wel expliciet "beleid inzake kwetsbaarhedenbeheer en -analyse" als een van de tien maatregelen; malwarebescherming is de operationele invulling daarvan. In ISO/IEC 27001 Annex A staat dit terug bij de beheersmaatregelen voor malwarebescherming en voor beheer van technische kwetsbaarheden. De Cyberbeveiligingswet neemt de tien maatregelen van artikel 21 over zodra die wet in werking treedt.