Fragebogen fragt, wie schnell wir Sicherheitsupdates durchführen

Patch-Richtlinie fällt unter Schwachstellenmanagement, nicht unter Reaktion auf Vorfälle

Die Frage nach der Geschwindigkeit von Updates und Patches befasst sich mit dem Prozess der Schwachstellenverwaltung: Wie schnell meldest du, dass ein Patch verfügbar ist, und wie schnell rollst du ihn aus. Das ist ein anderer Prozess als die Reaktion auf Sicherheitsvorfälle — das Installieren eines Patches ist präventiv, die Bearbeitung eines Vorfalls ist reaktiv. Kunden fragen dies in derselben Liste oft getrennt voneinander, und es ist ratsam, auch getrennt zu antworten: Wer die Schwachstellenverwaltung mit der Reaktion auf Sicherheitsvorfälle vermischt, gibt eine Antwort, die bei Nachfrage nicht stimmt.

Konkreter Nachweis für diese Frage ist normalerweise ein Zeitplan mit Fristen pro Risikokategorie: kritische Schwachstellen innerhalb von X Tagen, hohes Risiko innerhalb von Y Tagen und so weiter — plus ein Logbuch, das zeigt, dass diese Fristen auch wirklich eingehalten werden. Wenn du das nicht dokumentiert hast, dann ist "nein" die ehrliche Antwort auf diese Frage, auch wenn Patches in der Praxis schnell genug gehen; eine undokumentierte Gewohnheit ist kein nachweisbarer Prozess. Das zugehörige Dossier-Element über einen Prozess zur Erkennung und Behebung von Schwachstellen ist der Ort, um das beim nächsten Mal liefern zu können. Achte auch auf den Umfang der Frage: Einige Portale fragen dies nur für Systeme, die Kundendaten verarbeiten, andere für die gesamte IT-Umgebung einschließlich Arbeitsplätze — das macht einen großen Unterschied, was du nachweisen musst.

Soweit dies folgt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt Schwachstellenverwaltung und den Umgang mit bekannt gewordenen Schwachstellen als eine der zehn erforderlichen Maßnahmen für Einrichtungen, die unter die Richtlinie fallen; das Cybersicherheitsgesetz setzt dies in niederländische Rechtsvorschriften um. Ob diese Verpflichtung für das Unternehmen selbst gilt, hängt ab von oder ob das Unternehmen unter die NIS2-Richtlinie fällt — aber auch ohne diese Verpflichtung fragt ein größerer Kunde dies oft trotzdem, als Teil seiner eigenen Kettenbeurteilung. ISO/IEC 27001 behandelt dies weiter unter den Kontrollmaßnahmen der Anlage A, wo Patch-Management und technische Schwachstellenverwaltung als separate Kontrollpunkte wieder auftauchen.