lista kontrolna chce wiedzieć, które oprogramowanie antywirusowe lub ochronę punktów końcowych używamy

Oprogramowanie antywirusowe jest częścią zarządzania lukami w zabezpieczeniach, a nie oddzielnym środkiem

Pytanie dotyczące oprogramowania antywirusowego lub ochrony punktów końcowych nie podlega odrębnym środkom NIS2; należy ono do szerszego środka dotyczącego zarządzania lukami w zabezpieczeniach i higieny cybernetycznej z artykułu 21 ust. 2 Dyrektywy NIS2. Ochrona punktów końcowych — oprogramowanie antywirusowe, EDR (endpoint detection and response) lub podobne oprogramowanie na laptopach i serwerach — stanowi techniczne wdrożenie tego wymogu, a nie oddzielny punkt oceny. Listy kontrolne, które pytają konkretnie o markę produktu (takie jak Defender, CrowdStrike, Sophos), zwykle chcą wiedzieć, czy ochrona punktów końcowych działa w sposób systematyczny, a nie jaka dokładnie jest marka.

Jeśli przedsiębiorstwo korzysta z konkretnego produktu, odpowiedź zwykle jest prostym potwierdzeniem, ewentualnie z nazwą produktu. Jeśli ochrona punktów końcowych brakuje na niektórych systemach lub polityka została niedawno zmieniona, odpowiedź "nie" lub "częściowo" jest faktycznie prawidłowa — tak się po prostu robi, i nie trzeba tego nikogo przekonywać. Pytanie to często pojawia się w tej samej liście kontrolnej co procesem identyfikacji i usuwania podatności, ponieważ ochrona punktów końcowych i polityka łatania są często oceniane razem. Pytanie dotyczące szkoleniem w zakresie higieny cybernetycznej jest również związane z tym zagadnieniem: dla wielu klientów samo oprogramowanie nie wystarczy, chcą oni również wiedzieć, czy pracownicy wiedzą, jak z niego korzystać.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 Dyrektywy NIS2 wymienia wśród dziesięciu środków zarówno "politykę i procedury dotyczące stosowania kryptografii" jak i środki dotyczące zarządzania lukami w zabezpieczeniach oraz podstawowe praktyki w zakresie higieny cybernetycznej — ochrona punktów końcowych podlega tym ostatnim dwóm kategorii. ISO/IEC 27001 Dodatek A rozszerza to dalej za pomocą kontroli dotyczących ochrony przed złośliwym oprogramowaniem i zarządzania technicznymi lukami w zabezpieczeniach. Holenderska ustawa o bezpieczeństwie cybernetycznym, która transpozycją dyrektywę i wejdzie w życie 15 sierpnia 2026 r., nie zmienia tego podziału; tłumaczy tekst europejski na zobowiązania krajowe.