dotazník se ptá, jak rychle instalujeme záplaty, co vyplním

Lhůta na opravu zranitelnosti spadá pod správu zranitelností, ne pod řešení incidentů

Dotaz na rychlost aktualizace nebo opravy zranitelnosti náleží do procesu správy zranitelností, jednoho z deseti opatření z článku 21 odst. 2 NIS2. Zákazníci to obvykle ptají s konkrétní lhůtou: "během 14 dnů na kritické opravy" nebo "během 30 dnů na vysoké riziko". Pokud vaše organizace neuplatňuje pevné lhůty podle úrovně kritičnosti, nevyplňujte naslepo jedno z těchto čísel — popište, co se skutečně děje, například že se opravy prioritizují na základě skóre CVSS nebo doporučení poskytovatele, a že kritické zranitelnosti se zavádějí mimo běžný cyklus údržby.

Důkazem je obvykle politika správy oprav se zohledněnými lhůtami podle třídy rizika, plus výňatek z registru oprav nebo systému pro sledování problémů, který dokazuje, že se tyto lhůty skutečně dodržují. Chybí-li to poslední, je popis procesu bez měření lepší než vyplněná lhůta, kterou nemůžete doložit. Toto téma se překrývá s procesem pro odhalování a odstraňování slabých míst — často se jedná o stejný dotaz v jiném dotazníku, proto ověřte, zda máte v souboru řetězce již odpověď, než začnete znovu.

Kde se to v ISO 27001 a článku 21 nachází

V ISO/IEC 27001 spadá správa oprav pod kontrolní opatření z Přílohy A, která se zabývají technickými zranitelnostmi; auditorů obvykle zajímá zdokumentovaná lhůta a důkaz o jejím dodržení v posledním období, ne pouze politika na papíře. V samotné NIS2 není stanovena pevná lhůta na opravu — článek 21 odst. 2 jmenuje správu zranitelností jako povinné opatření, ale jeho zavádění ponechává na entitě. Pokud očekáváte, že zákon o kybernetické bezpečnosti bude po nabytí účinnosti dne 15. srpna 2026 obsahovat konkrétní lhůtu, ověřte si to při zveřejnění konečného znění; v tuto dobu to ještě není stanoveno. Pokud sami nemáte číslované lhůty pro jednotlivé třídy rizika, záleží to také na otázce, zda existuje politika pro analýzu rizik a bezpečnost informačních systémůprotože prioritizace oprav obvykle vychází z takovéto analýzy rizik.