el cuestionario pregunta con qué rapidez instalamos parches, qué debo rellenar

El plazo de aplicación de parches se incluye en la política de vulnerabilidades, no en la respuesta a incidentes

La pregunta sobre la velocidad de actualización o parches corresponde al proceso de gestión de vulnerabilidades, una de las diez medidas del artículo 21 apartado 2 de la NIS2. Los clientes suelen hacer esta pregunta con un plazo concreto: "dentro de 14 días para parches críticos" o "dentro de 30 días para riesgo alto". Si tu organización no aplica un plazo fijo por nivel de gravedad, no rellenes ciegamente uno de esos números — describe lo que realmente ocurre, por ejemplo que los parches se priorizan en función de una puntuación CVSS o recomendación del proveedor, y que las vulnerabilidades críticas se distribuyen fuera del ciclo de mantenimiento regular.

La prueba de esto es generalmente una política de gestión de parches que incluya los plazos aplicados por clase de riesgo, más un extracto del registro de parches o sistema de tickets que demuestre que esos plazos se cumplen realmente. Si falta este último, una descripción del proceso sin mediciones es mejor que un plazo rellenado que no puedas demostrar. Este tema se superpone con el proceso de identificación y corrección de vulnerabilidades — a menudo es la misma pregunta en otra lista de preguntas, así que comprueba si ya tienes una respuesta en el expediente de la cadena antes de empezar de nuevo.

Dónde aparece esto en ISO 27001 y el artículo 21

En ISO/IEC 27001, la gestión de parches se incluye en las medidas de control del Anexo A relacionadas con vulnerabilidades técnicas; los auditores suelen pedir tanto un plazo documentado como prueba de cumplimiento durante el período anterior, no solo la política en el papel. En la propia NIS2 no hay plazo fijo de parches — el artículo 21 apartado 2 menciona la gestión de vulnerabilidades como medida obligatoria, pero deja la aplicación a criterio de la entidad. Si esperas que la Ley de Ciberseguridad tras su entrada en vigor el 15 de agosto de 2026 establezca un plazo concreto, verifica esto en la publicación del texto definitivo; por ahora aún no está fijado. Si tú mismo aún no tienes plazos numerados por clase de riesgo, esto también afecta a la pregunta de si existe una política para análisis de riesgos y la protección de sistemas de informaciónporque la priorización de parches generalmente se basa en esa evaluación de riesgos.