Има ли процес за откриване и отстраняване на уязвимости?

Управлението на уязвимостите е една от десетте мерки

Да, това е постоянен въпрос във всеки списък на въпросите по NIS2, тъй като политиката за уязвимости е отделна част сред десетте мерки на член 21, параграф 2. Очаква се процес, който структурно открива уязвимости в софтуер, системи и мрежи — чрез сканирания, уведомления от доставчици или threat intelligence — и който определя в какъв период се прилага кръпка или обходно решение, в зависимост от тежестта. Едно единствено антивирусно решение или спорадично актуализиране не е отговор на този въпрос; търси се процесът, а не инструментът.

Което е доказателство: процедурен документ или политика със честота на сканиране, периоди за кръпки по клас риск и отговорна функция. Ако липсва това, тогава "не" или "отчасти" е честният отговор — отделна конфигурация на инструмент без процес зад нея не е достатъчна. Клиентите често задават този въпрос в комбинация с въпроса или има ли процедура за справяне със събитията, свързани със сигурността, тъй като пропусната кръпка е наистина често причина за събитие. Управлението на уязвимостите също се свързва понякога с въпроса или дали редовно се проверява ефективността на мерките, защото процес на сканиране без контрол на последващите действия е на практика хартиен процес.

Където е записано в директивата: член 21, параграф 2

Член 21, параграф 2 на Директива (ЕС) 2022/2555 изричес посочва "handling of vulnerabilities" като една от десетте мерки, които попадат под мерките за управление на риска, които юридическите лица трябва да вземат. Самата директива не предписва честота на сканиране или период на отстраняване на бъгове — това ниво на детайност се оставя на собствения анализ на риска и, когато е приложимо, на секторния или национален преглед. Въпросник, който задава конкретно число (например "критични пачове в рамките на X дни"), следователно проверява собствен стандарт на получателя, а не NIS2-минимум. При попълване обърнете внимание на разликата между "имаме процес" и "винаги спазваме собствения си крайния срок" — това са два различни отговора на два различни въпроса, дори ако въпросникът ги обединява.