el cuestionario pregunta con qué rapidez implementamos actualizaciones de seguridad

La política de parches se incluye en la gestión de vulnerabilidades, no en la respuesta ante incidentes

La pregunta sobre la velocidad de actualizaciones y parches se refiere al proceso de gestión de vulnerabilidades: cómo se señala rápidamente que hay un parche disponible y cómo se implementa rápidamente. Se trata de un proceso distinto de la respuesta a incidentes — instalar un parche es preventivo, gestionar un incidente es reactivo. Los clientes suelen hacer esta pregunta por separado en la misma lista, y es prudente responder también por separado: quien mezcla la gestión de vulnerabilidades con la respuesta a incidentes proporciona una respuesta que no encaja cuando se verifica.

La prueba concreta para esta pregunta suele ser una línea de tiempo con plazos por categoría de riesgo: vulnerabilidades críticas dentro de X días, riesgo alto dentro de Y días, y así sucesivamente — más un registro que demuestre que esos plazos se cumplen efectivamente. Si no lo has documentado, entonces "no" es la respuesta honesta a esta pregunta, incluso si los parches en la práctica se implementan lo suficientemente rápido; una costumbre no documentada no es un proceso demostrable. La parte del dossier correspondiente sobre un proceso para identificar y remediar vulnerabilidades es el lugar para poder presentarlo la próxima vez. Presta también atención al alcance de la pregunta: algunos portales lo solicitan solo para sistemas que procesan datos de clientes, otros para el entorno de TI completo incluidas las estaciones de trabajo — eso supone una gran diferencia en lo que tienes que demostrar.

Donde esto se desprende: artículo 21 apartado 2 y Anexo A

El artículo 21 apartado 2 de la Directiva NIS2 menciona la gestión de vulnerabilidades y el tratamiento de puntos débiles conocidos como una de las diez medidas obligatorias para las entidades que se encuentran dentro del alcance de la Directiva; la Ley de Ciberseguridad transpone esto en la legislación holandesa. Si esa obligación se aplica a la propia empresa depende de o si la empresa está cubierta por la Directiva NIS2 — pero incluso sin esa obligación, un cliente más grande suele solicitar esto de todas formas, como parte de su propia evaluación de la cadena. ISO/IEC 27001 lo desarrolla más en las medidas de control del Anexo A, donde la gestión de parches y la gestión técnica de vulnerabilidades reaparecen como un punto de control separado.