hoe laat ik zien dat al onze laptops beveiligd zijn

Virusscanners zijn onderdeel van cyberhygiëne, niet een losse vraag

"Alle laptops hebben een virusscanner" is meestal een deelvraag onder een bredere vraag over basispraktijken voor cyberhygiëne. Endpointbeveiliging (de vaktaal voor virusscanner, malwaredetectie en soms EDR op laptops) is één van de maatregelen die klanten toetsen als onderdeel van training in basispraktijken voor cyberhygiëne, en overlapt met het bredere toegangsbeleid en beheer van bedrijfsmiddelen — want zonder overzicht van welke laptops er zijn, kun je niet aantonen dat ze allemaal beveiligd zijn.

Het bewijsstuk dat klanten hier meestal willen zien is een export uit je endpoint-managementsysteem (Intune, Jamf, CrowdStrike, of vergelijkbaar) met per laptop de status van de virusscanner: actief, laatste update, laatste scan. Een screenshot van één laptop is geen bewijs voor de vloot; een dashboardoverzicht met alle apparaten wel. Heb je geen centraal beheer, dan is het eerlijkste antwoord dat je dit nog niet kunt aantonen op vlootniveau — dat is iets anders dan "nee, we doen niets", en dat onderscheid mag je ook zo in het portaal van je klant toelichten.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt cyberhygiëne en beveiligingstraining expliciet als één van de tien verplichte maatregelen voor entiteiten die onder de richtlijn vallen; endpointbeveiliging valt in de praktijk onder deze categorie. ISO/IEC 27001 werkt dit verder uit in Annex A, met specifieke beheersmaatregelen voor malwarebescherming en apparaatbeheer — vandaar dat klanten met een ISO-achtergrond vaak net iets andere bewijsstukken vragen dan klanten die rechtstreeks naar de NIS2-tekst verwijzen. Val je zelf niet onder de richtlijn, dan kan het nuttig zijn dat eerst na te gaan via of de onderneming zelf onder de NIS2-richtlijn valt, want dat bepaalt hoe zwaar dit bewijs moet zijn.