Esiste un processo per identificare e correggere le vulnerabilità?

La gestione delle vulnerabilità è una delle dieci misure

Sì, questa è una domanda fissa in ogni lista di controllo NIS2, poiché la politica sulle vulnerabilità figura come elemento separato tra le dieci misure dell'articolo 21 paragrafo 2. Si prevede un processo che individui sistematicamente le vulnerabilità nel software, nei sistemi e nelle reti — tramite scansioni, notifiche fornitori o threat intelligence — e che stabilisca entro quale termine applicare una patch o workaround, a seconda della gravità. Una sola soluzione antivirus o un aggiornamento occasionale non costituisce una risposta a questa domanda; si chiede il processo, non lo strumento.

Come prova vale: un documento di procedura o policy con frequenza di scansione, termini di patching per classe di rischio e una funzione responsabile. Se manca, "no" o "in parte" è la risposta corretta — una configurazione tool isolata senza un processo alle spalle non è sufficiente. I clienti spesso chiedono questo insieme alla domanda se esiste una procedura per la gestione degli incidenti di sicurezza, poiché una patch mancata è spesso la causa di un incidente. La gestione delle vulnerabilità è inoltre talvolta collegata alla domanda se l'efficacia delle misure è verificata periodicamente, perché un processo di scansione senza verifica dell'esecuzione è in pratica un processo su carta.

Dove si trova nella direttiva: articolo 21 paragrafo 2

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 cita letteralmente "handling of vulnerabilities" come una delle dieci misure che rientrano nelle misure di gestione del rischio che le entità devono attuare. La direttiva stessa non prescrive alcuna frequenza di scansione o termine di patching — questo livello di dettaglio è affidato all'analisi del rischio propria e, ove applicabile, all'attuazione settoriale o nazionale. Una lista di controllo che chiede un numero concreto (ad esempio "patch critiche entro X giorni") verifica quindi uno standard proprio del richiedente, non un minimo NIS2. Prestare attenzione nella compilazione alla differenza tra "abbiamo un processo" e "rispettiamo sempre la nostra scadenza" — si tratta di due risposte diverse a due domande diverse, anche se la lista di controllo le combina.