el cuestionario pregunta sobre nuestra política de parches para actualizaciones de software

La política de parches se incluye en la gestión de vulnerabilidades, no en la respuesta ante incidentes

La pregunta sobre la política de parches se incluye en el proceso de identificación y corrección de vulnerabilidades, no en la respuesta ante incidentes. Los clientes quieren saber si las actualizaciones se implementan de forma estructurada y puntual, con una distinción entre parches críticos (a menudo dentro de días) y actualizaciones regulares (a menudo dentro de un ciclo fijo de semanas). Una respuesta que solo dice "actualizamos regularmente" es demasiado vaga; generalmente se solicita un plazo concreto por clase de riesgo y quién es responsable de su ejecución y control.

Si no tienes plazos establecidos, entonces "no" es la respuesta honesta, incluso si en la práctica aplicas parches rápidamente. Un procedimiento que solo existe en la cabeza de alguien no es una política que puedas demostrar. A menudo, la misma lista también pregunta si esta política de parches forma parte de un proceso más amplio de análisis de riesgos — si ya existe una política documentada para esto, puedes incluir la política de parches como parte de ella en lugar de documentarla por separado. Presta atención también al alcance de la pregunta: ¿se refiere a tu propia infraestructura, a los productos que entregas o a ambos? Esto determina si tu documento de apoyo es una política interna o una nota de lanzamiento dirigida a los clientes.

Contemplado en el artículo 21, apartado 2, de la Directiva NIS2

La gestión de vulnerabilidades y su remediación (tratamiento y divulgación) se menciona como medida separada en el artículo 21, apartado 2, de la Directiva (UE) 2022/2555, junto con las prácticas básicas de ciberseguridad. La política de parches es la implementación operativa de esa medida. En ISO/IEC 27001, esto se refleja en el Anexo A, bajo las medidas de control para la gestión técnica de vulnerabilidades, donde la temporización de los parches se menciona explícitamente como un control. En la Ley de Ciberseguridad, la transposición holandesa de NIS2, este requisito entra en vigor el 15 de agosto de 2026 para las entidades sujetas a la ley.