Seznam vprašanj želi vedeti, katero protivirusno ali zaključno zaščito uporabljamo

Protivirusna zaščita je del upravljanja ranljivosti, ne samostojna ukrep

Vprašanje o protivirusni zaščiti ali zaščiti koncnih točk ne spada pod samostojni ukrep NIS2; sodi med širšo napravo o upravljanju ranljivosti in cyber higieni iz člena 21 odstavka 2 Direktive NIS2. Zaščita koncnih točk — protivirusna zaščita, EDR (endpoint detection and response) ali podobna programska oprema na prenosnikih in strežnikih — je tehnična izvedba te zahteve, ne ločena točka preverjanja. Vprašalniki, ki se konkretno sprašujejo o blagavni znamki izdelka (kot so Defender, CrowdStrike, Sophos), običajno želijo vedeti, ali se redno izvaja zaščita koncnih točk, ne katera znamka točno.

Če podjetje uporablja konkreten izdelek, je odgovor običajno preprosta potrditev z morebitnim imenom izdelka. Če zaščita koncnih točk manjka na nekaterih sistemih ali je bila politika pravkar obnovljena, je »ne« ali »delno« dejansko pravilen odgovor — to je tako, in tega nihče ne mora opravičevati. To vprašanje se pogosto pojavlja v istem vprašalniku kot postopkom za odkrivanje in odpravljanje ranljivosti, ker sta zaščita koncnih točk in politika obplat pogosto vrednoteni skupaj. Tudi vprašanje o usposabljanjem v kibernetski higieni je povezano s tem: samo programska oprema za številne stranke ni dovolj, želijo tudi vedeti, ali zaposleni vedo, kako jo uporabljati.

Izvor: člen 21(2) in Annex A

Člen 21 odstavek 2 Direktive NIS2 med desetimi ukrepi navaja tako »politiko in postopke v zvezi z uporabo kriptografije« kot ukrepe za upravljanje ranljivosti in temeljne prakse cyber higiene — zaščita koncnih točk spada pod zadnja dva. ISO/IEC 27001 Dodatek A to razširja z varstvenimi ukrepi za zaščito pred zlonamerkami in za tehnično upravljanje ranljivosti. Nizozemski zakon o kibernetski varnosti, ki direktivo pretvori in začne veljati 15. avgusta 2026, ne spreminja te razdelitve; nacionalne obveznosti prevaja iz evropskega besedila.