Dotazník se ptá, jak rychle zavádíme aktualizace a opravy

Správa záplat spadá pod zásady řízení zranitelností, nikoli samostatně

Otázka na to, jak rychle jsou aktualizace a záplaty nasazovány, je podotázkou v širším tématu: procesem pro odhalování a odstraňování slabých místZákazník, který tuto otázku pokládá, chce vědět, zda existuje strukturovaný proces — nejen zda je někdy nainstalována aktualizace. Konkrétně obvykle jde o tři věci: existuje pevný cyklus (týdenní, měsíční), rozlišuje se podle závažnosti (kritická zranitelnost rychleji než rutinní aktualizace) a existuje procesní postup pro systémy, které nelze opravit okamžitě.

Pokud neexistuje pevný proces, je "ještě k určení" upřímná odpověď — ne proto, že by předmět nebyl důležitý, ale proto, že věrohodná odpověď vyžaduje důkazní materiál: zásady správy záplat, přehled lhůt zpracování na úroveň severity nebo systém tiketů, který to zaznamenává. Bez takového materiálu nelze vůči zákazníkovi opodstatnit žádné konkrétní číslo ("do 48 hodin", "do 14 dnů"). Kdo má sice tento proces, ale není zdokumentován, měl by jej nejdříve sdělit písemně, než bude potvrzen jako "ano". To často souvisí s zásad přístupu a správy podnikových prostředků— bez aktuálního přehledu o tom, které systémy a zařízení existují, není také možné určit, zda je vše skutečně opraveno.

Kde se to opírá: článek 21 odst. 2 a Příloha A

Správa záplat není samostatným právním pojmem, ale spadá pod opatření pro řízení zranitelností uvedená v článku 21 odst. 2 Směrnice (EU) 2022/2555 (NIS2), kde "handling of vulnerabilities" je jedním z deseti povinných opatření pro subjekty spadající pod tuto směrnici. V normě ISO/IEC 27001 se stejné téma vrací v Příloze A v rámci kontrolních opatření pro technické řízení zranitelností. Oba zdroje nevyžadují konkrétní rychlost, ale proces, který je prokazatelně funkční. Holandský Zákon o kybernetické bezpečnosti to později doplňuje; měl by vstoupit v platnost předpokládaně 15. srpna 2026.