el cuestionario pregunta con qué rapidez realizamos actualizaciones y parches

Patch management se incluye en la política de vulnerabilidades, no por separado

La pregunta sobre la rapidez con la que se implementan actualizaciones y parches es una subpregunta dentro de un tema más amplio: el proceso de identificación y corrección de vulnerabilidadesUn cliente que hace esta pregunta quiere saber si existe un proceso estructurado — no solo si alguna vez se instala una actualización. En concreto, suele tratarse de tres cosas: ¿hay un ciclo fijo (semanal, mensual), se distingue por gravedad (una vulnerabilidad crítica más rápida que una actualización rutinaria), y ¿hay un proceso de excepción para sistemas que no pueden parchearse de inmediato?

Si no hay un proceso fijo, "por determinar" es la respuesta honesta — no porque el tema sea poco importante, sino porque una respuesta creíble requiere una prueba: una política de parches, un resumen de plazos por nivel de gravedad, o un sistema de tickets que lo registre. Sin tal documento, cualquier cifra concreta ("dentro de 48 horas", "dentro de 14 días") no puede justificarse ante el cliente. Quien sí tiene este proceso pero no lo ha documentado, hace bien en plasmarlo por escrito antes de confirmarlo como "sí". Esto suele estar vinculado a la política de acceso y la gestión de activossin un registro actual de qué sistemas y dispositivos existen, tampoco se puede establecer si todo se parcheará realmente.

A qué se remite esto: artículo 21 apartado 2 y Anexo A

Patch management no es un concepto legal separado, sino que forma parte de las medidas para la gestión de vulnerabilidades mencionadas en el artículo 21 apartado 2 de la Directiva (UE) 2022/2555 (NIS2), donde "handling of vulnerabilities" es una de las diez medidas obligatorias para las entidades que quedan bajo el alcance de la directiva. En ISO/IEC 27001, el mismo tema reaparece en el Anexo A, bajo las medidas de control para la gestión técnica de vulnerabilidades. Ambas fuentes no exigen una velocidad específica, sino un proceso que funcione demostrablemente. La Ley holandesa de Ciberseguridad lo desarrollará más adelante; se espera que entre en vigor el 15 de agosto de 2026.