zoznam otázok sa pýta, ako rýchlo nainštalujeme záplaty, čo vyplním

Lehota na opravu podľa zraniteľnosti spada pod politiku riadenia zraniteľností, nie pod reakciu na incidenty

Otázka na rýchlosť aktualizácií alebo opravy podľa zraniteľnosti patrí k procesu riadenia zraniteľností, jednej z desiatich opatrení z článku 21 odsek 2 smernice NIS2. Zákazníci to zvyčajne pýtajú s konkrétnou lehotou: "do 14 dní na kritické opravy podľa zraniteľnosti" alebo "do 30 dní na vysoké riziko". Ak vaša organizácia nemá pevnú lehotu na úroveň závažnosti, neskopírujte slepo jedno z týchto čísel — opíšte, čo sa naozaj deje, napríklad že opravy podľa zraniteľnosti sú usporiadané podľa skóre CVSS alebo odporúčania dodávateľa a že kritické zraniteľnosti sú nasadzované mimo pravidelného cyklu údržby.

Dokladom je zvyčajne politika riadenia opráv podľa zraniteľnosti s lehotami na jednotlivých úrovniach rizika, plus výťah z registra opráv podľa zraniteľnosti alebo systému správy problémov, ktorý preukázuje, že sa tieto lehoty naozaj dodržiavajú. Ak chýba ten druhý, opis procesu bez meraní je lepší ako vyplnená lehota, ktorú nemôžete zdôvodniť. Táto téma sa prekrýva s procesom na detekciu a opravu zraniteľností — často je to jedna a tá istá otázka v inom zozname otázok, preto skontrolujte, či už máte odpoveď v reťazovom súbore, kým opätovne začnete.

Kde je to v norme ISO 27001 a článku 21

V norme ISO/IEC 27001 spada riadenie opráv podľa zraniteľnosti pod opatrenia na úrovni Prílohy A, ktoré sa týkajú technických zraniteľností; audítori zvyčajne pýtajú na dokumentovanú lehotu a na doklady o dodržiavaní za posledné obdobie, nie iba na politiku na papieri. V samotnej smernici NIS2 nie je stanovená pevná lehota na opravu podľa zraniteľnosti — článok 21 odsek 2 spomína riadenie zraniteľností ako povinné opatrenie, ale ponecháva jeho implementáciu na entitu. Očakávajte, že Zákon o kybernetickej bezpečnosti po svojej účinnosti dňa 15. augusta 2026 bude predpisovať konkrétnu lehotu; v prípade potreby to skontrolujte pri zverejnení konečného textu. V súčasnosti to ešte nie je stanovené. Ak si sám ešte nemáte číslovaných lehôt na úroveň rizika, ovplyvňuje to tiež otázku, či existuje politika pre analýzu rizík a bezpečnosť informačných systémovpretože prioritizácia opráv podľa zraniteľnosti zvyčajne vychádza z tej analýzy rizika.