la liste de questions demande à quelle vitesse nous déployons les mises à jour et les correctifs

La gestion des correctifs relève de la politique de gestion des vulnérabilités, pas séparément

La question de savoir à quelle vitesse les mises à jour et les correctifs sont déployés est une sous-question d'un thème plus large : le processus d'identification et de correction des vulnérabilitésUn client qui pose cette question veut savoir s'il existe un processus structuré — non seulement si une mise à jour est jamais installée. Concrètement, il s'agit généralement de trois choses : existe-t-il un cycle régulier (hebdomadaire, mensuel), est-ce qu'une distinction est faite selon la gravité (une vulnérabilité critique plus rapidement qu'une mise à jour de routine), et existe-t-il un processus d'exception pour les systèmes qui ne peuvent pas être corrigés immédiatement.

S'il n'existe pas de processus établi, « à déterminer » est la réponse honnête — non pas parce que le sujet est sans importance, mais parce qu'une réponse crédible exige une pièce justificative : une politique de gestion des correctifs, un aperçu des délais de traitement par niveau de gravité, ou un système de tickets qui l'enregistre. Sans un tel document, tout chiffre concret (« dans les 48 heures », « dans les 14 jours ») n'est pas justifiable auprès du client. Celui qui dispose de ce processus mais ne l'a pas documenté ferait bien de le consigner d'abord par écrit avant qu'il ne soit confirmé comme « oui ». Cela est souvent lié à la politique d'accès et de la gestion des actifsUn inventaire actualisé des systèmes et des appareils est nécessaire ; sans cela, on ne peut pas établir si tout est réellement corrigé.

Sur quoi cela se fonde : article 21 alinéa 2 et Annexe A

La gestion des correctifs n'est pas un concept juridique distinct, mais s'inscrit dans les mesures de gestion des vulnérabilités mentionnées à l'article 21, alinéa 2, de la Directive (UE) 2022/2555 (NIS2), où le « traitement des vulnérabilités » est l'une des dix mesures obligatoires pour les entités relevant de la directive. Dans l'ISO/IEC 27001, le même sujet apparaît à l'Annexe A, parmi les mesures de contrôle de la gestion technique des vulnérabilités. Les deux sources ne demandent pas une vitesse spécifique, mais un processus qui fonctionne de manière démontrable. La loi néerlandaise sur la cybersécurité la complète ultérieurement ; elle devrait entrer en vigueur le 15 août 2026.