il questionario chiede con quale rapidità implementiamo aggiornamenti e patch

La gestione delle patch rientra nella politica di gestione delle vulnerabilità, non come elemento separato

La domanda sulla velocità con cui vengono implementati gli aggiornamenti e le patch è una sub-domanda all'interno di un tema più ampio: il processo di identificazione e correzione delle vulnerabilitàUn cliente che pone questa domanda vuole sapere se esiste un processo strutturato — non solo se un aggiornamento viene mai installato. In concreto, di solito si tratta di tre elementi: esiste un ciclo fisso (settimanale, mensile), viene fatta distinzione in base alla gravità (una vulnerabilità critica più velocemente di un aggiornamento ordinario), e esiste un processo di eccezione per i sistemi che non possono essere patchati immediatamente.

Se non esiste un processo fisso, "ancora da determinare" è la risposta onesta — non perché l'argomento sia poco importante, ma perché una risposta credibile richiede una prova documentale: una politica di patch, una panoramica dei tempi di elaborazione per livello di gravità, o un sistema di ticket che registra questo. Senza un tale documento, qualsiasi cifra concreta ("entro 48 ore", "entro 14 giorni") non può essere provata verso il cliente. Chi ha questo processo ma non l'ha documentato farebbe bene a metterlo prima per iscritto prima che sia confermato come "sì". Questo spesso è legato a la politica di accesso e la gestione dei beni aziendali: senza una panoramica aggiornata di quali sistemi e dispositivi ci sono, non è neanche possibile stabilire se tutto viene effettivamente patchato.

Cui si riconduce: articolo 21 paragrafo 2 e Allegato A

La gestione delle patch non è un concetto legale separato, ma rientra nelle misure di gestione delle vulnerabilità menzionate nell'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 (NIS2), dove "handling of vulnerabilities" è una delle dieci misure obbligatorie per le entità rientranti nella direttiva. In ISO/IEC 27001 lo stesso argomento è presente nell'Allegato A, tra le misure di controllo per la gestione tecnica delle vulnerabilità. Entrambe le fonti non richiedono una velocità specifica, ma un processo che funziona in modo dimostrabile. La Legge olandese sulla cibersicurezza completerà ulteriormente questo aspetto; si prevede che entri in vigore il 15 agosto 2026.