spørgeskemaet spørger om vores patchpolitik for softwareopdateringer

Patchpolitik falder under sårbarhedsstyring, ikke under hændelsessvar

Spørgsmålet om patchpolitik høres til under processen for identificering og udbedring af sårbarheder, ikke under hændelsessvar. Kunder ønsker at vide, om opdateringer udrulles strukturelt og til tiden, med en skelnen mellem kritiske patches (ofte inden for nogle få dage) og regelmæssige opdateringer (ofte inden for en fast cyklus på uger). Et svar, der blot siger "vi opdaterer regelmæssigt", er for vagt; der bliver normalt spurgt til en konkret tidsfrist pr. risikokategori og til, hvem der er ansvarlig for at gennemføre og kontrollere det.

Hvis du ikke har fastlagte tidsfrister, er "nej" det ærliges svar, selv hvis du i praksis patchar hurtigt. En procedure, der kun eksisterer i nogen person's hoved, er ikke en politik, som du kan påvise. Ofte bliver der også i samme liste spurgt, om denne patchpolitik er en del af en bredere proces for risikovurdering — hvis der allerede findes dokumenteret politik for det, kan du indarbejde patchpolitik som en del heraf i stedet for at dokumentere det separat. Vær også opmærksom på omfanget af spørgsmålet: handler det om din egen infrastruktur, om produkter, som du leverer, eller begge dele. Det afgør, om dit bevis er et internt politikdokument eller en release-note rettet mod kunder.

Kan spores til artikel 21, stk. 2 NIS2

Sårbarhedsstyring og afhjælpning heraf (håndtering og offentliggørelse) nævnes som en særskilt foranstaltning i artikel 21, stk. 2 i Direktiv (EU) 2022/2555, ved siden af grundlæggende praksis for cyberhygiejne. Patchpolitik er den operationelle gennemførelse af denne foranstaltning. I ISO/IEC 27001 fremgår dette af Annex A under beheersmaatregelen for teknisk sårbarhedsstyring, hvor timing af patches eksplicit nævnes som en kontrol. I henhold til Cybersikkerhedsloven, den danske gennemførelse af NIS2, træder dette krav i kraft den 15. august 2026 for de enheder, der falder ind under loven.