Fragebogen fragt nach unserer Richtlinie zur Behebung von Software-Updates

Patch-Richtlinie fällt unter Schwachstellenmanagement, nicht unter Reaktion auf Vorfälle

Die Frage nach der Patch-Richtlinie gehört zu dem Prozess zur Erkennung und Behebung von Schwachstellen, nicht zur Reaktion auf Vorfälle. Kunden möchten wissen, ob Updates strukturell und pünktlich ausgerollt werden, mit einer Unterscheidung zwischen kritischen Patches (oft innerhalb von Tagen) und regulären Updates (oft innerhalb eines festen Zyklus von Wochen). Eine Antwort, die nur sagt "wir aktualisieren regelmäßig", ist zu vage; in der Regel wird nach einer konkreten Frist pro Risikokategorie und danach gefragt, wer für die Durchführung und Kontrolle verantwortlich ist.

Wenn du keine festgelegten Fristen hast, ist "nein" die ehrliche Antwort, auch wenn du in der Praxis schnell patches. Ein Verfahren, das nur im Kopf einer Person existiert, ist keine Richtlinie, die du nachweisen kannst. Oft wird in derselben Liste auch gefragt, ob diese Patch-Richtlinie Teil eines umfassenderen Prozesses zur Risikobewertung ist — wenn es für diesen bereits ein dokumentiertes Verfahren gibt, kannst du die Patch-Richtlinie als Teil davon einbeziehen, statt sie separat zu dokumentieren. Beachte auch den Umfang der Frage: Geht es um deine eigene Infrastruktur, um Produkte, die du lieferst, oder um beides? Dies bestimmt, ob dein Beleg ein internes Richtliniendokument oder eine Versionshinweise gegenüber Kunden ist.

Rückverfolgbar auf Artikel 21 Absatz 2 NIS2

Schwachstellenmanagement und dessen Behebung (Bearbeitung und Offenlegung) wird als separate Maßnahme in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 aufgeführt, neben Grundpraktiken für Cyberhygiene. Eine Patch-Richtlinie ist die operative Umsetzung dieser Maßnahme. In ISO/IEC 27001 findet dies in Annex A unter den Kontrollmaßnahmen für technisches Schwachstellenmanagement Widerspiegelung, wo das Timing von Patches explizit als Kontrolle genannt wird. Nach dem Cybersicherheitsgesetz, der niederländischen Umsetzung von NIS2, gilt diese Anforderung ab 15. August 2026 für die unter das Gesetz fallenden Einrichtungen.