vprašalnik sprašuje o našem zakonu obnovljanja za programske posodobitve

Politika popravkov spada pod upravljanje ranljivosti, ne pod odziv na varnostne motnje

Vprašanje o politiki popravkov spada med postopkom za odkrivanje in odpravljanje ranljivosti, ne med odziv na varnostne motnje. Stranke želijo vedeti, ali se posodobitve sistemsko in pravočasno uvajajo, z razlikovanjem med kritičnimi popravki (pogosto v nekaj dneh) in rednimi posodobitvami (pogosto v fiksnem ciklu tednov). Odgovor, ki pravi samo »redno posodabljamo« je preveč nezavezujoč; običajno se pričakuje konkretna časovna omejitev za vsak razred tveganja in podatek o tem, kdo je odgovoren za izvedbo in nadzor tega.

Če nmaš dogovorjenih rokov, je »ne« pošten odgovor, tudi če v praksi hitro popravljaš. Postopek, ki obstaja samo v čigavem glavnega, ni politika, ki bi jo lahko dokazal. Pogosto se na istem seznamu pojavi tudi vprašanje, ali je ta politika popravkov del širšega procesa za analizo tveganja — če za to že obstaja ustaljena politika, lahko politiko popravkov vključiš kot del tega namesto da bi jo dokumentiral posebej. Obvezno pazite tudi na obseg vprašanja: gre za vašo lastno infrastrukturo, za izdelke, ki jih dobavite, ali za oboje. To določa, ali je dokazilo interno gradivo politike ali pa so opombe o izdaji namenjene strankam.

Kot je navedeno v členu 21 odstavek 2 NIS2

Upravljanje ranljivosti in njihovo odpravljanje (obravnava in razkritje) je v Direktivi (EU) 2022/2555 omenjen kot ločena varnostna mera, ob strani osnovnih praks kibernetske higiene. Politika popravkov je operativna izvedba te mere. V ISO/IEC 27001 se to pojavlja v Dodatku A pod varnostnimi ukrepi za tehnično upravljanje ranljivosti, kjer je časovni okvir popravkov izrecno naveden kot nadzor. Kot del Zakona o kibernetski varnosti, slovenske prevoze NIS2, ta zahteva velja od 15. avgusta 2026 za subjekte, ki spadajo v obseg zakona.