a kérdőív arra kérdez rá, hogy milyen gyorsan telepítjük a frissítéseket, mit töltsek be

A javítási határidő a sebezhetőségi politika alá tartozik, nem az incidenskezeléshez

A frissítés- vagy javítási sebesség iránti kérdés a sebezhetőségkezelési folyamathoz kapcsolódik, amely a NIS2 21. cikk 2. bekezdésének tíz intézkedménye közül egy. Az ügyfelek ezt általában egy konkrét határidővel teszik fel: "kritikus javítások esetén 14 napon belül" vagy "magas kockázat esetén 30 napon belül". Ha szervezete nem alkalmaz rögzített határidőt súlyossági szint szerint, akkor ne vakon töltsd be valamelyik számot — írja le, hogy mi történik valójában, például hogy a javítások a CVSS-pontszám vagy a szállítói tanácsok alapján priorizálódnak, és hogy a kritikus sebezhetőségeket a normál karbantartási cikluson kívül vezetik be.

Ennek bizonyítéka általában egy javításkezelési politika az alkalmazott határidőkkel kockázati osztályonként, valamint a javítási naplóból vagy jegykezelő rendszerből készült kivonat, amely azt igazolja, hogy ezeket a határidőket ténylegesen teljesítik. Ha az utóbbi hiányzik, akkor a mérések nélküli folyamatleírás jobb, mint egy olyan kitöltött határidő, amelyet nem tudsz alátámasztani. Ez a téma átfedi a sebezhetőségek felderítésére és elhárítására irányuló folyamattal — gyakran az egy másik kérdőívben azonos kérdés, ezért ellenőrizd, hogy már van-e válaszod a láncfájlban, mielőtt újra kezdenél.

Az ISO 27001 és a 21. cikk ezt hol szabályozza

Az ISO/IEC 27001-ben a javítócsomag-kezelés az A. melléklet azon szabályozási intézkedései közé tartozik, amelyek a technikai sebezhetőségekkel kapcsolatosak; az auditorok általában egy dokumentált időtartamot és megfelelőségi bizonyítékot kérnek az utolsó időszakra, nem csak a papíron szereplő politikát. Az NIS2-ben magában nincsen fix javítótermín — a 21. cikk 2. bekezdése a sebezhetőségkezelést kötelező intézkedésként említi, de az entitásra bízza az értelmezést. Ha azt várod, hogy a Kiberbiztonsági törvény 2026. augusztus 15-én történő hatálybalépését követően konkrét időtartamot ír elő, ellenőrizd ezt a végleges szöveg közzétételekor; jelenleg ez még nincs rögzítve. Ha te magad még nincsenek számozott időtartamaid kockázati kategóriánként, ez érinti azt a kérdést is, hogy van-e szabályzat a kockázatelemzésre és az információs rendszerek védelmemivel a javítások prioritása általában ezen kockázatelemzésen alapul.