Existe um processo para detetar e remediar vulnerabilidades?

A gestão de vulnerabilidades é uma das dez medidas

Sim, esta é uma pergunta fixa em cada lista de verificação NIS2, pois a política de vulnerabilidades figura como um componente separado entre as dez medidas do artigo 21.º, n.º 2. Espera-se um processo que identifique estruturalmente vulnerabilidades em software, sistemas e redes — através de verificações, notificações de fornecedores ou inteligência de ameaças — e que registre o prazo dentro do qual um patch ou workaround será aplicado, dependendo da gravidade. Uma solução antivírus isolada ou uma atualização ocasional não constitui resposta a esta pergunta; o que se solicita é o processo, não o meio.

O que conta como prova: um documento de procedimento ou política com frequência de verificação, prazos de patch por classe de risco e uma função responsável. Se isto faltar, então "não" ou "parcialmente" é a resposta honesta — uma configuração de ferramenta isolada sem processo subjacente não é suficiente. Os clientes frequentemente fazem esta pergunta em combinação com a questão se existe um procedimento para o tratamento de incidentes de segurança, porque um patch perdido é frequentemente a causa de um incidente. A gestão de vulnerabilidades também é por vezes associada à pergunta se a eficácia das medidas é testada periodicamente, pois um processo de verificação sem controlo de acompanhamento é na prática um processo puramente formal.

Onde consta na diretiva: artigo 21.º, n.º 2

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 menciona explicitamente "handling of vulnerabilities" como uma das dez medidas que se enquadram nas medidas de gestão de risco que as entidades devem adotar. A diretiva em si não prescreve frequência de verificação ou prazo de patch — esse nível de detalhe fica a cargo da sua própria análise de risco e, quando aplicável, da elaboração setorial ou nacional. Uma lista de verificação que solicita um número concreto (por exemplo, "patches críticos dentro de X dias") está a testar uma norma própria do cliente, não um mínimo NIS2. Ao preencher, preste atenção à distinção entre "temos um processo" e "cumprimos sempre o nosso próprio prazo" — estas são duas respostas diferentes a duas perguntas diferentes, mesmo que a lista de verificação as combine.