enkäten frågar om vi använder brandvägg och antivirus, hur svarar jag på det

Brandvägg och antivirus är teknik, inte svaret i sig

En brandvägg och antivirus är separata tekniska åtgärder, inte ett fristående säkerhetsmässigt ämne. I de tio åtgärderna i artikel 21 stycke 2 NIS2 och i Bilaga A i ISO/IEC 27001 förekommer de inte som en separat punkt: de är del av ett bredare paket för nätverks- och systemsäkerhet. Om frågan står ensam i en lista är det oftast en förenklad fråga från en kund som själv inte arbetar med NIS2-språk, eller en initial screeningsfråga innan resten av listan följer.

Besvara frågan faktiskt: har företaget en aktiv brandvägg och antivirusprogramvara, ja eller nej. Om så är fallet kan kedjedokumentet vanligtvis underbygga detta med en teknisk inventering eller en konfigurationsöversikt — ingen certifikat, ingen förklaring, bara en faktisk konstatering. Om dokumentationen saknas är "nej" eller "okänt" det ärliga svaret; en brandvägg som finns på plats men aldrig är dokumenterad ger inget bevisningsunderlag som du kan underbygga "ja" med. Observera anslutningen med åtkomstpolicy och hantering av företagstillgångar: en brandvägg utan aktuell överblick över anslutna system är i praktiken ett halvt åtgärd, och det kommer i bredare listor ofta fortfarande tillbaka som en separat fråga.

Där detta faller inom de tio åtgärderna

Brandväggar och antivirus faller innehållsmässigt under åtgärderna för nätverk- och systemsäkerhet enligt artikel 21 stycke 2 NIS2, och i ISO 27001 under de tekniska kontrollåtgärderna i Annex A. De är sällan kärnan i en revision eller granskning; mer relevant är om företaget regelbundet granskar om dess säkerhetsåtgärder fortfarande är effektiva, för en brandvägg utan underhåll eller loggning räknas i praktiken för lite. För ett företag som inte själv omfattas av lagen om cybersäkerhet är detta vanligtvis en kundfråga utan laglig grund — men svaret förblir faktiskt detsamma.