questionário quer saber qual antivírus ou proteção de endpoints usamos

Antivírus é parte da gestão de vulnerabilidades, não uma medida isolada

A pergunta sobre antivírus ou proteção de endpoint não se enquadra em uma medida NIS2 própria; ela faz parte da medida mais ampla sobre gestão de vulnerabilidades e ciberhigiene do artigo 21.º, n.º 2 da Diretiva NIS2. Proteção de endpoint — antivírus, EDR (endpoint detection and response) ou software semelhante em computadores portáteis e servidores — é uma implementação técnica desse requisito, não um ponto de avaliação separado. Listas de verificação que perguntam especificamente pela marca do produto (pense em Defender, CrowdStrike, Sophos) geralmente querem saber se há proteção de endpoint funcionando estruturalmente, não qual marca exactamente.

Se a empresa utiliza um produto concreto, a resposta é geralmente uma simples confirmação, eventualmente com o nome do produto. Se falta proteção de endpoint em alguns sistemas, ou se a política foi recentemente renovada, então "não" ou "parcialmente" é a resposta factualmente correta — é simplesmente assim, e ninguém precisa justificá-lo. Esta pergunta aparece frequentemente na mesma lista de verificação que o processo de deteção e correção de vulnerabilidades, porque proteção de endpoint e política de patches são frequentemente avaliadas em conjunto. A pergunta sobre formação em cibersegurança, também está relacionada com isto: para muitos clientes, apenas software não é suficiente, querem também saber se os colaboradores sabem como usá-lo.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona entre as dez medidas tanto "políticas e procedimentos relativos à utilização de criptografia" como medidas para gestão de vulnerabilidades e práticas de base no domínio da ciberhigiene — proteção de endpoint enquadra-se nestas últimas duas. A ISO/IEC 27001 Annex A desenvolve isto ainda mais com medidas de controlo para proteção contra malware e para gestão técnica de vulnerabilidades. A Lei de Cibersegurança Holandesa, que transpõe a diretiva e entra em vigor em 15 de agosto de 2026, não muda nada nesta classificação; traduz o texto europeu em obrigações nacionais.