Există un proces pentru identificarea și remedierea vulnerabilităților?

Gestiunea vulnerabilităților este una dintre cele zece măsuri

Da, aceasta este o întrebare obișnuită în fiecare chestionar NIS2, deoarece politica de vulnerabilități figura ca o secțiune separată între cele zece măsuri ale articolului 21 alineat 2. Se așteaptă un proces care detectează în mod structurat vulnerabilităților în software, sisteme și rețele — prin scanări, notificări de la furnizori sau threat intelligence — și care stabilește termenul în care se aplică o corecție sau o soluție alternativă, în funcție de gravitate. O singură soluție antivirus sau o actualizare ocazională nu constituie un răspuns la această întrebare; se cere procesul, nu instrumentul.

Ce contează ca dovadă: un document de procedură sau de politică cu frecvența scanării, termene de corectare pe clasă de risc și o funcție responsabilă. Dacă lipsește, atunci "nu" sau "parțial" este răspunsul onest — o configurație de instrument izolată fără proces în spate nu este suficientă. Clienții pun adesea această întrebare în combinație cu întrebarea dacă există o procedură pentru tratarea incidentelor de securitate, deoarece o corecție omisă este adesea cauza unui incident. Gestiunea vulnerabilităților este, de asemenea, uneori legată de întrebarea dacă eficacitatea măsurilor este testată periodic, deoarece un proces de scanare fără control asupra urmării este în practică un proces pe hârtie.

Unde se află aceasta în directivă: articolul 21 alineat 2

Articolul 21 alineat 2 al Directivei (UE) 2022/2555 menționează "handling of vulnerabilities" în mod explicit ca una dintre cele zece măsuri care se încadrează în măsurile de gestionare a riscurilor pe care entitățile trebuie să le ia. Directiva în sine nu prescrie o frecvență de scanare sau un termen de corectare — acest nivel de detaliu este lăsat la analiza proprie a riscului și, dacă este cazul, la elaborarea la nivel sectorial sau național. O chestionar care cere un număr concret (de exemplu, "corecturi critice în termen de X zile"), testează deci o normă proprie a beneficiarului, nu un nivel minim NIS2. Acordați atenție atunci când completați diferența dintre "avem un proces" și "atingem întotdeauna propria noastră scadență" — acestea sunt două răspunsuri diferite la două întrebări diferite, chiar dacă chestionarul le fuzionează.