upitnik pita koliko brzo primjenjujemo ažuriranja i zakrpe

Upravljanje zakrpama spada pod politiku vulnerabilnosti, nije odvojeno

Pitanje kako brzo se ažuriranja i zakrpe primjenjuju je potpitanje pod širom tematikom: procesom za prepoznavanje i ispravljanje ranjivostiKupac koji postavlja ovo pitanje želi znati postoji li strukturirani proces — ne samo je li ažuriranje ikad instalirano. Konkretno, obično se radi o tri stvari: postoji li fiksna ciklus (tjedno, mjesečno), pravi li se razlika prema težini (kritična vulnerabilnost brže nego rutinsko ažuriranje), i postoji li izuzetni proces za sustave koji se ne mogu odmah zakrpati.

Ako nema utvrđenog procesa, "još treba odrediti" je iskren odgovor — ne zato što je tema nebitna, već zato što vjerodostojan odgovor zahtijeva dokazni dokument: politiku zakrpama, pregled vremena obrade po razini težine, ili sustav za upravljanje zahtjevima koji to bilježi. Bez takvog dokumenta, svaki konkretan broj ("u roku od 48 sati", "u roku od 14 dana") nije moguće opravdati prema klijentu. Tko ima ovaj proces, ali nije ga dokumentirao, dobro bi učinio da ga prvo postavi na papir prije nego što se potvrdi kao "da". Često je povezano s politiku pristupa i upravljanje poslovnom imovinom":bez suvremenog pregleda koji su sustavi i uređaji prisutni, nije moguće utvrditi jesu li svi stvarno zakrpani.

Gdje se ovo vraća: članak 21 stavak 2 i Prilog A

Upravljanje zakrpama nije odvojeni zakonski koncept, već spada pod mjere za upravljanje vulnerabilnostima koje se navode u članku 21 stavak 2 Direktive (EU) 2022/2555 (NIS2), gdje je "rukovanje vulnerabilnostima" jedna od deset obveznih mjera za subjekte koji spadaju pod direktivu. U ISO/IEC 27001 ista tematika se pojavljuje u Prilogu A, pod kontrolama za upravljanje tehničkim vulnerabilnostima. Oba izvora ne traže specifičnu brzinu, već proces koji se može dokazati da funkcionira. Nizozemski Zakon o kibernetskoj sigurnosti to će kasnije dodatno popuniti; očekuje se da stupa na snagu 15. kolovoza 2026.