Findes der en proces for at opdage og afhjælpe sårbarheder?

Vulnerability management er en af de ti foranstaltninger

Ja, dette er et fast spørgsmål på hver NIS2-spørgeskema, fordi politik for sårbarheder er placeret som en separat del blandt de ti foranstaltninger i artikel 21, stk. 2. Der forventes en proces, der strukturelt opdager sårbarheder i software, systemer og netværk — via scanninger, meddelelser fra leverandører eller threat intelligence — og som dokumenterer, inden for hvilken tidsramme en patch eller workaround implementeres, afhængigt af alvorsgraden. En enkelt antiviruspløsning eller lejlighedsvise opdateringer er ikke et svar på dette spørgsmål; der spørges efter processen, ikke værktøjet.

Hvad der tæller som bevis: et procedure- eller policy-dokument med scanningsfrekvens, patchtidsfrister pr. risikliklasse og en ansvarlig funktion. Hvis det mangler, er "nej" eller "delvis" det ærlige svar — en løs værktøjskonfiguration uden en underliggende proces er ikke tilstrækkelig. Kunder spørger ofte om dette i kombination med spørgsmålet eller der er en procedure for håndtering af sikkerhedshændelser, fordi en glemt patch naturligvis ofte er årsagen til en hændelse. Vulnerability management bliver også nogle gange forbundet med spørgsmålet eller effektiviteten af foranstaltninger vurderes med jævne mellemrum, fordi en scanningsproces uden kontrol med opfølgning i praksis er en papirsproces.

Hvor det fremgår af direktivet: artikel 21, stk. 2

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner "handling of vulnerabilities" bogstaveligt talt som en af de ti foranstaltninger, der falder under de risikostyringsforanstaltninger, som enheder skal træffe. Direktivet selv foreskriver ingen scanningsfrekvens eller patchtidsramme — dette detaljeringsniveau overlades til egen risikovurdering og, hvor det er relevant, til sektormæssig eller national uddybelse. En spørgeskema, der spørger om et konkret tal (f.eks. "kritiske patches inden for X dage"), tester således en egen norm fra aftageren, ikke et NIS2-minimum. Vær opmærksom på forskellen mellem "vi har en proces" og "vi opfylder altid vores egen frist" ved udfyldningen — det er to forskellige svar på to forskellige spørgsmål, selvom spørgeskemaet fletter dem sammen.