le questionnaire demande à quelle vitesse nous installons les correctifs, comment dois-je remplir cela

Les délais de correction relèvent de la politique de gestion des vulnérabilités, non de la réponse aux incidents

La question sur la rapidité des mises à jour ou des correctifs relève du processus de gestion des vulnérabilités, l'une des dix mesures de l'article 21, paragraphe 2, de la directive NIS2. Les clients posent généralement cette question avec un délai précis : « dans les 14 jours pour les correctifs critiques » ou « dans les 30 jours pour les risques élevés ». Si votre organisation n'applique pas de délai fixe par niveau de gravité, ne remplissez pas aveuglément l'un de ces chiffres — décrivez ce qui se passe réellement, par exemple que les correctifs sont priorisés en fonction d'un score CVSS ou d'un avis du fournisseur, et que les vulnérabilités critiques sont déployées en dehors du cycle de maintenance régulière.

La preuve en est généralement une politique de gestion des correctifs indiquant les délais appliqués par classe de risque, ainsi qu'un extrait du registre des correctifs ou du système de tickets démontrant que ces délais sont effectivement respectés. S'il manque ce dernier élément, une description du processus sans mesures est préférable à un délai rempli que vous ne pouvez pas justifier. Ce sujet se chevauche avec le processus d'identification et de correction des vulnérabilités — souvent il s'agit de la même question dans une autre liste de questions, vérifiez donc si vous avez déjà une réponse dans le dossier de chaîne avant de recommencer.

Où cela figure dans ISO 27001 et l'article 21

Dans ISO/IEC 27001, la gestion des correctifs relève des mesures de contrôle de l'Annexe A concernant les vulnérabilités techniques ; les auditeurs demandent généralement un délai documenté et une preuve de conformité au cours de la dernière période, pas seulement la politique sur le papier. Dans la directive NIS2 elle-même, il n'y a pas de délai de correction fixe — l'article 21, paragraphe 2, mentionne la gestion des vulnérabilités comme mesure obligatoire, mais laisse la mise en œuvre à l'entité. Si vous vous attendez à ce que la Loi sur la cybersécurité après son entrée en vigueur le 15 août 2026 prescrive effectivement un délai concret, vérifiez-le lors de la publication du texte définitif ; à ce stade, ce n'est pas encore fixé. Si vous n'avez pas vous-même de délais numérotés par classe de risque, cela affecte également la question de savoir si il existe une politique pour l'analyse des risques et la protection des systèmes d'informationcar la priorisation des correctifs est généralement basée sur cette analyse de risque.