Fragebogen fragt, wie schnell wir Updates und Patches durchführen

Patch-Management fällt unter die Schwachstellenpolitik, nicht separat

Die Frage, wie schnell Updates und Patches bereitgestellt werden, ist eine Teilfrage unter einem breiteren Thema: dem Prozess zur Erkennung und Behebung von SchwachstellenEin Kunde, der dies fragt, möchte wissen, ob es einen strukturierten Prozess gibt – nicht nur, ob jemals ein Update installiert wird. Konkret geht es normalerweise um drei Dinge: Gibt es einen festen Rhythmus (wöchentlich, monatlich), wird nach Schweregrad unterschieden (eine kritische Schwachstelle schneller als ein Routine-Update), und gibt es einen Ausnahmeprozess für Systeme, die nicht sofort gepatcht werden können.

Wenn es keinen festen Prozess gibt, ist "noch zu bestimmen" die ehrliche Antwort – nicht weil das Thema unwichtig ist, sondern weil eine glaubwürdige Antwort einen Nachweis erfordert: eine Patch-Richtlinie, einen Überblick über die Durchlaufzeiten pro Severity-Niveau oder ein Ticketsystem, das dies dokumentiert. Ohne ein solches Dokument lässt sich jede konkrete Zeitangabe ("innerhalb von 48 Stunden", "innerhalb von 14 Tagen") gegenüber dem Kunden nicht begründen. Wer diesen Prozess hat, ihn aber nicht dokumentiert hat, sollte ihn zunächst schriftlich festhalten, bevor er als "ja" bestätigt wird. Dies hängt oft zusammen mit der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcenohne einen aktuellen Überblick darüber, welche Systeme und Geräte vorhanden sind, lässt sich auch nicht feststellen, ob wirklich alles gepatcht wird.

Worauf dies zurückgeht: Artikel 21 Absatz 2 und Annex A

Patch-Management ist kein separater gesetzlicher Begriff, sondern fällt unter die Maßnahmen zur Schwachstellenverwaltung, die in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 (NIS2) genannt werden, wobei "handling of vulnerabilities" eine der zehn obligatorischen Maßnahmen für Einrichtungen ist, die unter die Richtlinie fallen. In ISO/IEC 27001 findet sich das gleiche Thema in Annex A unter den Kontrollmaßnahmen für technisches Schwachstellenmanagement wieder. Beide Quellen schreiben keine bestimmte Geschwindigkeit vor, sondern einen nachweislich funktionierenden Prozess. Das niederländische Cybersicherheitsgesetz wird dies später weiter konkretisieren; es soll voraussichtlich am 15. August 2026 in Kraft treten.