le questionnaire demande notre politique de correctifs pour les mises à jour logicielles

La politique de correctifs relève de la gestion des vulnérabilités, non de la réponse aux incidents

La question relative à la politique de correctifs relève de le processus d'identification et de correction des vulnérabilités, non de la réponse aux incidents. Les clients veulent savoir si les mises à jour sont déployées de manière structurée et en temps voulu, en distinguant les correctifs critiques (souvent dans les jours) des mises à jour régulières (souvent selon un cycle fixe de semaines). Une réponse qui dit simplement « nous mettons à jour régulièrement » est trop vague ; ce qui est généralement demandé, c'est un délai concret par classe de risque et l'identification de la personne responsable de l'exécution et du contrôle.

Si vous n'avez pas de délais établis, alors « non » est la réponse honnête, même si vous patchez rapidement dans la pratique. Une procédure qui n'existe que dans la tête de quelqu'un n'est pas une politique que vous pouvez démontrer. Souvent, la même liste demande également si cette politique de correctifs fait partie d'un processus plus large d'analyse des risques — si une politique établie existe déjà pour cela, vous pouvez y intégrer la politique de correctifs comme élément plutôt que de la documenter séparément. Attention également à la portée de la question : s'agit-il de votre propre infrastructure, des produits que vous fournissez, ou des deux. Cela détermine si votre justificatif est un document de politique interne ou une note de version à l'intention des clients.

Traçable à l'article 21, paragraphe 2, NIS2

La gestion des vulnérabilités et leur correction (traitement et divulgation) est mentionnée comme mesure distincte à l'article 21, paragraphe 2, de la Directive (UE) 2022/2555, aux côtés des pratiques de base de cyberhygiène. La politique de correctifs est la mise en œuvre opérationnelle de cette mesure. En ISO/IEC 27001, cela se retrouve en Annexe A, parmi les mesures de contrôle technique pour la gestion des vulnérabilités, où le calendrier des correctifs est explicitement mentionné comme un contrôle. En vertu de la Cyberbeveiligingswet, la transposition néerlandaise de NIS2, cette exigence entre en vigueur le 15 août 2026 pour les entités relevant de la loi.