Der Fragebogen fragt, wie schnell wir Patches installieren, was fülle ich aus

Patch-Zeitraum fällt unter die Schwachstellenrichtlinie, nicht unter die Vorfallreaktion

Die Frage nach der Geschwindigkeit von Updates oder Patches gehört zum Prozess der Schwachstellenverwaltung, eine der zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2. Kunden fragen dies normalerweise mit einer konkreten Frist: "innerhalb von 14 Tagen für kritische Patches" oder "innerhalb von 30 Tagen für hohes Risiko". Wenn deine Organisation keinen festen Zeitraum pro Schweregrad nutzt, füll dann nicht blind eine dieser Zahlen ein — beschreibe, was tatsächlich geschieht, zum Beispiel dass Patches basierend auf einem CVSS-Score oder einer Herstellerempfehlung priorisiert werden, und dass kritische Schwachstellen außerhalb des regulären Wartungszyklus bereitgestellt werden.

Der Nachweis hierfür ist normalerweise eine Patch-Management-Richtlinie mit den angewendeten Zeiträumen pro Risikokategorie, plus ein Auszug aus dem Patch-Register oder Ticketsystem, das nachweist, dass diese Zeiträume tatsächlich eingehalten werden. Fehlt dieser letzte Punkt, ist eine Beschreibung des Prozesses ohne Messungen besser als eine ausgefüllte Frist, die du nicht belegen kannst. Dieses Thema überschneidet sich mit dem Prozess zur Erkennung und Behebung von Schwachstellen — oft ist das dieselbe Frage in einer anderen Frageliste, daher überprüfe, ob du bereits eine Antwort im Kettendossier hast, bevor du von vorne beginnst.

Wo dies in ISO 27001 und Artikel 21 zu finden ist

In ISO/IEC 27001 fällt Patch-Management unter die Kontrollmaßnahmen des Anhangs A, die sich mit technischen Schwachstellen befassen; Prüfer fragen normalerweise nach einem dokumentierten Zeitrahmen und nach Nachweisen der Einhaltung über den letzten Zeitraum, nicht nur nach der Richtlinie auf dem Papier. In NIS2 selbst ist kein fester Patch-Zeitrahmen festgelegt — Artikel 21 Absatz 2 nennt Schwachstellenmanagement als erforderliche Maßnahme, überlässt aber die Ausgestaltung der Entität. Wenn du erwartest, dass das Cybersicherheitsgesetz nach seinem Inkrafttreten am 15. August 2026 tatsächlich einen konkreten Zeitrahmen vorschreibt, prüfe dies dann bei Veröffentlichung des endgültigen Textes; derzeit ist dies noch nicht festgelegt. Wenn du selbst noch keine nummerierten Zeitrahmen pro Risikokategorie hast, betrifft dies auch die Frage, ob es eine Richtlinie für Risikoanalyse und den Schutz von Informationssystemen gibt, da die Priorisierung von Patches normalerweise auf dieser Risikoanalyse basiert.