questionário pergunta com que rapidez implementamos atualizações e patches

Patch management está sob política de vulnerabilidades, não separadamente

A questão de com que rapidez as atualizações e patches são implementados é uma sub-questão dentro de um tema mais amplo: o processo de deteção e correção de vulnerabilidadesUma entidade que faz esta pergunta quer saber se existe um processo estruturado — não apenas se uma atualização é instalada ocasionalmente. Na prática, geralmente envolve três aspetos: existe um ciclo fixo (semanal, mensal), é feita uma distinção consoante a gravidade (uma vulnerabilidade crítica mais rápida do que uma atualização de rotina), e existe um processo de exceção para sistemas que não podem ser corrigidos imediatamente.

Se não existe um processo fixo, "a ser determinado" é a resposta honesta — não porque o tema seja irrelevante, mas porque uma resposta credível requer um documento comprobatório: uma política de patches, um sumário dos prazos por nível de gravidade, ou um sistema de tickets que o registre. Sem tal documento, qualquer número concreto ("no prazo de 48 horas", "no prazo de 14 dias") não é sustentável perante o cliente. Quem de facto tem este processo mas não o documentou, fará bem em colocá-lo primeiro por escrito antes de ser confirmado como "sim". Isto está frequentemente associado a a política de acesso e a gestão de ativos: sem um sumário atualizado de quais sistemas e dispositivos existem, também não é possível estabelecer se tudo é realmente corrigido.

Onde isto se baseia: artigo 21.º, n.º 2 e Anexo A

Patch management não é um conceito legal separado, mas enquadra-se nas medidas de gestão de vulnerabilidades referidas no artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 (NIS2), onde "handling of vulnerabilities" é uma das dez medidas obrigatórias para entidades sujeitas à diretiva. Na ISO/IEC 27001 o mesmo assunto reaparece no Anexo A, sob as medidas de controlo para gestão técnica de vulnerabilidades. Ambas as fontes não solicitam uma velocidade específica, mas um processo que comprovadamente funcione. A Lei Holandesa de Cibersegurança preencherá isto posteriormente; espera-se que entre em vigor em 15 de agosto de 2026.