chestionar întreabă cât de repede aplicăm actualizări și patch-uri

Gestionarea patch-urilor face parte din politica de vulnerabilități, nu separat

Întrebarea cu privire la cât de rapid sunt implementate actualizările și patch-urile este o sub-întrebare într-o temă mai largă: procesul de detectare și remediere a vulnerabilitățilorUn client care pune această întrebare vrea să știe dacă există un proces structurat — nu doar dacă o actualizare este vreodată instalată. În concret, de obicei merge despre trei lucruri: există un ciclu fix (săptămânal, lunar), se face o distincție pe bază de severitate (o vulnerabilitate critică mai repede decât o actualizare de rutină), și există un proces de excepție pentru sistemele care nu pot fi corectate imediat.

Dacă nu există un proces fix, "încă de determinat" este răspunsul sincer — nu pentru că subiectul nu ar fi important, ci pentru că un răspuns credibil necesită o probă: o politică de patch-uri, o privire de ansamblu asupra timpilor de procesare per nivel de severitate, sau un sistem de tichet care înregistrează acest lucru. Fără un asemenea document, orice cifră concretă ("în 48 de ore", "în 14 zile") nu poate fi dovedită față de client. Cine are într-adevăr acest proces dar nu l-a documentat, ar fi bine să o facă mai întâi pe hârtie înainte ca să fie confirmat ca "da". Aceasta este adesea legată de politica de acces și gestiunea activelor de afaceri: fără un inventar actualizat al sistemelor și dispozitivelor care există, nu se poate nici stabili dacă totul este într-adevăr actualizat cu patch-uri.

Baza pentru aceasta: articolul 21 alineatul 2 și Anexa A

Managementul patch-urilor nu este un concept legal separat, ci face parte din măsurile de gestionare a vulnerabilităților menționate în articolul 21 alineatul 2 al Directivei (UE) 2022/2555 (NIS2), unde "handling of vulnerabilities" este una dintre cele zece măsuri obligatorii pentru entitățile care cad sub incidența directivei. În ISO/IEC 27001, același subiect apare din nou în Anexa A, sub măsurile de control pentru gestionarea tehnică a vulnerabilităților. Ambele surse nu impun o viteză specifică, ci un proces care dovedește că funcționează. Legea olandeză privind securitatea cibernetică o completează mai târziu; aceasta se așteaptă să intre în vigoare la 15 august 2026.