Existuje proces pro detekci a nápravu zranitelností?

Správa zranitelností je jedním z deseti opatření

Ano, jedná se o stálou otázku v každém seznamu otázek NIS2, protože politika zranitelností se nachází jako samostatná složka mezi deseti opatřeními článku 21 odstavce 2. Očekává se proces, který systematicky detekuje zranitelnosti v softwaru, systémech a sítích — prostřednictvím skenů, oznámení od dodavatelů nebo threat intelligence — a který určuje, v jaké lhůtě bude aplikována oprava nebo obejití, v závislosti na závažnosti. Jediné antivirtové řešení nebo příležitostné aktualizace nejsou odpovědí na tuto otázku; dotazuje se na proces, nikoli na nástroj.

Jako důkaz se počítá: procedurální nebo oborový dokument s frekvencí skenování, lhůtami pro opravu podle třídy rizika a odpovědností určené funkce. Pokud to chybí, pak je "ne" nebo "částečně" upřímná odpověď — samostatná konfigurace nástroje bez podprocesního procesu nestačí. Zákazníci to často kombinují s otázkou zda existuje postup pro zpracování incidentů bezpečnosti, protože opomenuté opravy jsou často příčinou incidentu. Správa zranitelností je také někdy spojena s otázkou zda je účinnost opatření pravidelně ověřována, protože proces skenování bez kontroly následného řešení je v praxi papírovým procesem.

Kde se to v směrnici nachází: článek 21 odstavec 2

Článek 21 odstavec 2 Směrnice (EU) 2022/2555 výslovně jmenuje "handling of vulnerabilities" jako jednu z deseti opatření, která patří mezi opatření pro řízení rizik, která musí entity přijmout. Samotná směrnice neukládá frekvenci skenování nebo lhůtu pro opravu — tato úroveň detailu je ponechána na vlastní analýzu rizik a, pokud je to relevantní, na odvětvové nebo národní interpretaci. Seznam otázek, který žádá konkrétní číslo (například "kritické opravy do X dnů"), tedy ověřuje vlastní standard příjemce, nikoli minimum NIS2. Při vyplňování si všímejte rozdílu mezi "máme proces" a "vždy jsme schopni dodržet naši vlastní lhůtu" — jedná se o dvě různé odpovědi na dvě různé otázky, a to i v případě, že seznam otázek je spojuje.