¿Existe un proceso para identificar y remediar vulnerabilidades?

La gestión de vulnerabilidades es una de las diez medidas

Sí, esta es una pregunta fija en cada lista de verificación NIS2, porque la política de vulnerabilidades figura como un apartado independiente entre las diez medidas del artículo 21, apartado 2. Se espera un proceso que detecte estructuralmente vulnerabilidades en software, sistemas y redes —mediante análisis, notificaciones de proveedores o inteligencia de amenazas— y que establezca dentro de qué plazo se aplica un parche o solución alternativa, en función de la gravedad. Una única solución antivirus o una actualización ocasional no es una respuesta a esta pregunta; se pregunta por el proceso, no por la herramienta.

Lo que cuenta como prueba: un documento de procedimiento o política con frecuencia de análisis, plazos de parches por clase de riesgo y una función responsable. Si falta, la respuesta honesta es "no" o "parcialmente" — una configuración suelta de herramientas sin un proceso detrás no es suficiente. Los clientes a menudo formulan esta pregunta en combinación con la pregunta sobre si existe un procedimiento para tratar incidentes de seguridad, porque un parche no aplicado es a menudo la causa de un incidente. La gestión de vulnerabilidades también se vincula a veces con la pregunta sobre si la eficacia de las medidas se evalúa periódicamente, porque un proceso de análisis sin control de seguimiento es en la práctica un proceso papel.

Dónde aparece en la directiva: artículo 21, apartado 2

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 menciona "handling of vulnerabilities" literalmente como una de las diez medidas que forman parte de las medidas de gestión de riesgos que deben adoptar las entidades. La directiva en sí no prescribe frecuencia de análisis ni plazo de parches — ese nivel de detalle se deja al análisis de riesgos propio y, cuando corresponda, a la elaboración sectorial o nacional. Una lista de verificación que solicita un número específico (por ejemplo, "parches críticos dentro de X días") evalúa por tanto una norma propia del cliente, no un mínimo de NIS2. Al rellenar, tenga en cuenta la distinción entre "tenemos un proceso" y "siempre cumplimos nuestro propio plazo" — son dos respuestas diferentes a dos preguntas diferentes, incluso si la lista de verificación las combina.