ankieta pyta, jak szybko instalujemy łatki, co mam wpisać

Termin stosowania łat jest zawarty w polityce zarządzania lukami, a nie w reagowaniu na incydenty

Pytanie dotyczące szybkości aktualizacji lub stosowania łat należy do procesu zarządzania lukami w zabezpieczeniach, jednego z dziesięciu środków wymienionych w artykule 21 ust. 2 dyrektywy NIS2. Klienci zwykle zadają to pytanie z konkretnym terminem: "w ciągu 14 dni dla krytycznych łat" lub "w ciągu 30 dni dla wysokiego ryzyka". Jeśli Twoja organizacja nie stosuje stałego terminu dla każdego poziomu ważności, nie wypełniaj ślepo jednej z tych liczb — opisz to, co naprawdę się dzieje, na przykład że łaty są ustalane na podstawie oceny CVSS lub rekomendacji dostawcy i że krytyczne luki w zabezpieczeniach są wdrażane poza regularnym cyklem konserwacji.

Dowód zwykle stanowi polityka zarządzania łatami zawierająca stosowane terminy dla każdej klasy ryzyka, plus wyciąg z rejestru łat lub systemu biletów pokazujący, że te terminy są rzeczywiście przestrzegane. Jeśli brakuje ostatniego elementu, wówczas opis procesu bez pomiarów jest lepszy niż wypełniony termin, którego nie możesz uzasadnić. Ten temat się pokrywa z procesem identyfikacji i usuwania podatności — często jest to jedno i to samo pytanie w innej ankiecie, dlatego sprawdź, czy masz już odpowiedź w dossier łańcuchowym, zanim zaczniesz od nowa.

Gdzie to znajduje się w ISO 27001 i artykule 21

W ISO/IEC 27001 zarządzanie łatami wchodzi w zakres środków kontrolnych Załącznika A dotyczących podatności technicznych; audytorzy zwykle pytają o udokumentowany termin i dowód zgodności z wymogami w ostatnim okresie, a nie tylko o politykę na papierze. W samej dyrektywie NIS2 nie określono stałego terminu dla łat — artykuł 21 ust. 2 wymienia zarządzanie podatnościami jako środek obowiązkowy, ale pozostawia jego wdrożenie jednostce. Jeśli spodziewasz się, że Ustawa o cyberbezpieczeństwie po wejściu w życie 15 sierpnia 2026 r. rzeczywiście narzuci konkretny termin, sprawdź to przy opublikowaniu ostatecznego tekstu; na dzień dzisiejszy nie jest to jeszcze ustalone. Jeśli sam nie posiadasz jeszcze numerowanych terminów na klasę ryzyka, to również dotyczy to kwestii, czy istnieje polityka analizy ryzyka i ochrony systemów informacyjnych, ponieważ priorytetyzacja łat zwykle opiera się na tej analizie ryzyka.