spørgeskemaet spørger, hvor hurtigt vi installerer patches, hvad udfylder jeg

Patchperiode hører under politik for sårbarheder, ikke under hændelseshåndtering

Spørgsmålet om opdaterings- eller patchhastighed hører til processen for sårbarhedsstyring, som er en af de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet. Kunder stiller dette spørgsmål normalt med en konkret periode: "inden for 14 dage for kritiske patches" eller "inden for 30 dage for høj risiko". Hvis din organisation ikke anvender en fast periode pr. alvorlighedsgrad, skal du ikke bare angive et af disse tal — beskriv i stedet hvad der virkelig sker, for eksempel at patches prioriteres på grundlag af en CVSS-score eller leverandørvejledning, og at kritiske sårbarheder udrulles uden for den almindelige vedligeholdelses cyklus.

Bevis herfor er normalt en patchstyrings politik med de perioder der anvendes pr. risikokategori, samt et uddrag fra patchregisteret eller billetsystemet som viser, at disse perioder også virkelig overholdes. Hvis sidstnævnte mangler, er en processbeskrivelse uden målinger bedre end en angivet periode som du ikke kan dokumentere. Dette emne overlapper med processen for identificering og udbedring af sårbarheder — ofte er det ét og samme spørgsmål i en anden spørgeskema, så kontroller om du allerede har et svar i kæden-dossieret før du starter på ny.

Hvor dette findes i ISO 27001 og artikel 21

I ISO/IEC 27001 hører patchstyring under kontrolforanstaltningerne i Bilag A, som vedrører tekniske sårbarheder; revisorer spørger normalt efter en dokumenteret periode og efter bevis for overholdelse over den seneste periode, ikke kun efter politikken på papiret. I selve NIS2-direktivet er der ingen fast patchterminal — artikel 21, stk. 2 nævner sårbarhedsstyring som obligatorisk foranstaltning, men overlader udformningen til virksomheden. Hvis du forventer at cybersikkerhedsloven efter ikrafttrædelsen den 15. august 2026 fastsætter en konkret periode, skal du kontrollere det ved offentliggørelse af det endelige tekst; på nuværende tidspunkt er det endnu ikke fastlagt. Hvis du selv endnu ikke har nummererede perioder pr. risikokategori, vedrører det også spørgsmålet om der findes politik for risikoanalyse og beskyttelse af informationssystemerfordi prioriteringen af patches normalt er baseret på denne risikovurdering.