il questionario chiede con quale velocità installiamo i patch, cosa compilo

Il termine di patch rientra nella politica sulle vulnerabilità, non nella risposta agli incidenti

La domanda sulla velocità di aggiornamento o patch rientra nel processo di gestione delle vulnerabilità, una delle dieci misure dell'articolo 21 paragrafo 2 NIS2. I clienti di solito pongono questa domanda con un termine concreto: "entro 14 giorni per patch critiche" o "entro 30 giorni per rischio elevato". Se la tua organizzazione non applica un termine fisso per livello di gravità, non inserire alla cieca uno di questi numeri — descrivi cosa accade realmente, ad esempio che le patch vengono prioritizzate sulla base di un punteggio CVSS o del consiglio del fornitore, e che le vulnerabilità critiche vengono rilasciate al di fuori del ciclo di manutenzione regolare.

La prova di ciò è solitamente una politica di gestione delle patch con i termini applicati per classe di rischio, più un estratto dal registro delle patch o dal sistema di ticket che dimostri che tali termini vengono effettivamente rispettati. Se manca quest'ultimo, una descrizione del processo senza misurazioni è meglio di un termine compilato che non puoi provare. Questo argomento si sovrappone a il processo di identificazione e correzione delle vulnerabilità — spesso è la stessa domanda in un altro questionario, quindi verifica se hai già una risposta nel fascicolo della catena prima di ricominciare.

Dove questo si trova in ISO 27001 e articolo 21

In ISO/IEC 27001 la gestione delle patch rientra nelle misure di controllo dell'Allegato A relative alle vulnerabilità tecniche; gli auditor di solito richiedono un termine documentato e una prova di conformità nel periodo precedente, non solo la politica sulla carta. In NIS2 stesso non esiste un termine di patch fisso — l'articolo 21 paragrafo 2 cita la gestione delle vulnerabilità come misura obbligatoria, ma lascia l'attuazione all'entità. Se ti aspetti che la Legge sulla sicurezza informatica dopo l'entrata in vigore il 15 agosto 2026 prescriva effettivamente un termine concreto, verifica tale aspetto al momento della pubblicazione del testo definitivo; al momento non è ancora stabilito. Se tu stesso non hai ancora termini numerati per classe di rischio, questo tocca anche la domanda se esiste una politica per l'analisi dei rischi e la protezione dei sistemi informativiperché la prioritizzazione delle patch di solito si basa su tale analisi dei rischi.