frågelistan vill veta vilken antivirus eller endpoint protection vi använder

Antivirus är en del av hantering av säkerhetsproblem, inte en separat åtgärd

Frågan om antivirus eller slutpunktssäkerhet omfattas inte av en egen NIS2-åtgärd; den ingår i den bredare åtgärden för hantering av säkerhetsproblem och basstandarder för cyberhygien från artikel 21 punkt 2 i NIS2-direktivet. Slutpunktssäkerhet — antivirus, EDR (endpoint detection and response) eller liknande programvara på bärbara datorer och servrar — är en teknisk implementering av detta krav, inte en separat bedömningspunkt. Enkäter som specifikt frågar om produktnamnet (såsom Defender, CrowdStrike, Sophos) vill vanligtvis veta om det finns strukturerad slutpunktssäkerhet, inte vilket varumärke som exakt används.

Om organisationen använder en konkret produkt är svaret vanligtvis en enkel bekräftelse med eventuellt produktnamnet. Om slutpunktssäkerhet saknas på vissa system eller om policyn nyligen uppdaterades är "nej" eller "delvis" det faktiskt korrekta svaret — det är helt enkelt så, och det behöver ingen rättfärdiga det. Den här frågan förekommer ofta i samma enkät som processen för att upptäcka och åtgärda sårbarheter," eftersom slutpunktssäkerhet och uppdateringshantering ofta bedöms tillsammans. Även frågan om träning i cyberhygien är relaterad till detta: endast programvara är ofta inte tillräckligt för många kunder, de vill också veta om medarbetarna vet hur de ska använda den.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Artikel 21 punkt 2 i NIS2-direktivet nämner bland de tio åtgärderna både "policy och procedurer rörande användningen av kryptering" och åtgärder för hantering av säkerhetsproblem och basstandarder på området för cyberhygien — slutpunktssäkerhet ingår i dessa senare två. ISO/IEC 27001 Annex A utvecklar detta vidare med kontrolåtgärder för skydd mot skadlig programvara och för teknisk hantering av säkerhetsproblem. Den nederländska cybersäkerhetslagens, som implementerar direktivet och träder i kraft den 15 augusti 2026, ändrar ingenting i denna klassificering; den översätter den europeiska texten till nationella skyldigheter.