vprašalnik sprašuje, kako hitro nameščamo popravke, kaj izpolnim

Rok za objavitev popravka spada pod politiko ranljivosti, ne pod odziv na incident

Vprašanje o hitrosti posodobitve ali objavitve popravka spada v proces upravljanja ranljivosti, eno od desetih ukrepov iz člena 21(2) NIS2. Stranke to navadno vprašajo z oznako konkretnega roka: »v roku 14 dni za kritične popravke« ali »v roku 30 dni za visoko tveganje«. Če vaša organizacija nima določenega roka na raven resnosti, ne vnesite slepo enega od teh številk — opišite, kaj se dejansko dogaja, na primer da so popravki razvrščeni po CVSS-oceni ali nasvetu dobavitelja, in da so kritične ranljivosti razporejene zunaj rednega vzdrževalnega cikla.

Dokaz za to je praviloma politika upravljanja popravkov s časovnimi roki za razred tveganja, plus izvleček iz register popravkov ali sistema za kartice, ki dokazuje, da se ti roki tudi dejansko dosežejo. Če slednje manjka, je opis postopka brez meritev boljši kot vpisani rok, ki ga ne morete dokazati. Ta tema se prepleta z postopkom za odkrivanje in odpravljanje ranljivosti — pogosto je to isto vprašanje na drugem seznamu vprašanj, zato preverite, ali imate že odgovor v kettenjskem spisu, preden se znova lotite.

Kje se to nahaja v ISO 27001 in členu 21

V ISO/IEC 27001 upravljanje popravkov spada med ukrepe nadzora v Dodatku A, ki se nanašajo na tehnične ranljivosti; revizorji navadno vprašajo po dokumentiranem roku in dokazih o skladnosti v zadnjem obdobju, ne samo po politiki na papirju. V samem NIS2 ni določenega roka za popravke — člen 21(2) omenja upravljanje ranljivosti kot obvezni ukrep, vendar pusti izvedbo entiteti. Če pričakujete, da bo Zakon o kibernetski varnosti po njegovi veljavnosti 15. avgusta 2026 predpisal dejansko rok, to preverite pri objavi dokončnega besedila; trenutno to ni določeno. Če sami še nimate oštevilčenih rokov po razredu tveganja, to vpliva tudi na vprašanje, ali obstaja politika za analizo tveganj in varovanje informacijskih sistemov«, saj je razvrščanje popravkov običajno osnovano na tej analizi tveganja.