il questionario chiede informazioni sulla nostra politica di patching per gli aggiornamenti software

La politica di patching rientra nella gestione delle vulnerabilità, non nella risposta agli incidenti

La domanda sulla politica di patching rientra in il processo di identificazione e correzione delle vulnerabilità, non nella risposta agli incidenti. I clienti vogliono sapere se gli aggiornamenti vengono distribuiti strutturalmente e tempestivamente, con una distinzione tra patch critiche (spesso entro giorni) e aggiornamenti regolari (spesso entro un ciclo fisso di settimane). Una risposta che dice solo "aggiorniamo regolarmente" è troppo vaga; di solito viene richiesto un termine concreto per classe di rischio e informazioni su chi è responsabile dell'esecuzione e del controllo.

Se non hai termini definiti, allora "no" è la risposta onesta, anche se in pratica applichi le patch rapidamente. Una procedura che esiste solo nella testa di qualcuno non è una politica che puoi dimostrare. Spesso nella stessa lista viene anche chiesto se questa politica di patching fa parte di un processo più ampio di analisi dei rischi — se per questo esiste già una politica documentata, puoi includere la politica di patching come parte di essa invece di documentarla separatamente. Presta attenzione anche all'ambito della domanda: riguarda la tua infrastruttura, i prodotti che fornisci, o entrambi. Questo determina se il tuo documento probante è una politica interna o una nota di rilascio verso i clienti.

Rinviabile all'articolo 21 paragrafo 2 NIS2

La gestione delle vulnerabilità e la loro corrección (handling e disclosure) è menzionata come misura separata nell'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555, accanto alle prassi di base per l'igiene cibernetica. La politica di patching è l'attuazione operativa di questa misura. Nello standard ISO/IEC 27001 questo rientra nell'Allegato A, tra le misure di controllo per la gestione tecnica delle vulnerabilità, dove la tempistica dei patch è esplicitamente menzionata come controllo. Secondo la Cybersecurity Act, il recepimento olandese della NIS2, questo obbligo entra in vigore il 15 agosto 2026 per le entità soggette alla legge.