enkäten frågar hur snabbt vi implementerar uppdateringar och säkerhetsuppdateringar

Patchhantering ingår under sårbarhetspolicy, inte separat

Frågan om hur snabbt uppdateringar och patchar distribueras är en delfråga under ett bredare tema: processen för att upptäcka och åtgärda sårbarheter. En kund som ställer denna fråga vill veta om det finns en strukturerad process — inte bara om en uppdatering någon gång installeras. I praktiken handlar det vanligtvis om tre saker: finns det en fast cykel (veckovis, månatlig), görs åtskillnad baserat på allvarlighetsgrad (en kritisk sårbarhet snabbare än en rutinuppdatering), och finns det en undantagsprocess för system som inte kan patcha omedelbar.

Om det inte finns en fast process är "ännu att fastställa" det ärliga svaret — inte för att ämnet är oviktigt, utan för att ett trovärdig svar kräver ett bevisstycke: en patchpolicy, en överblick över genomloppstider per allvarlighetsgrad, eller ett biljettöversiktssystem som registrerar detta. Utan ett sådant stycke kan varje konkret tid ("inom 48 timmar", "inom 14 dagar") inte underbyggas gentemot kunden. Den som har denna process men inte dokumenterat den gör väl i att först sätta den på papper innan det bekräftas som "ja". Detta hänger ofta ihop med åtkomstpolicy och hantering av företagstillgångar: utan en aktuell överblick över vilka system och enheter som finns är det också inte fastställt att allt faktiskt patcha blir.

Vad detta bygger på: artikel 21 stycke 2 och Annex A

Patchhantering är inte ett separat juridiskt begrepp utan faller under åtgärderna för sårbarhetsbehör som nämns i artikel 21 stycke 2 av direktiv (EU) 2022/2555 (NIS2), där "handling of vulnerabilities" är en av tio obligatoriska åtgärder för enheter som omfattas av direktivet. I ISO/IEC 27001 återkommer samma ämne i Annex A, under kontrollåtgärderna för teknisk sårbarhetsbehär. Båda källorna ställer inte krav på en specifik hastighet utan på en process som är påvisbar. Den nederländska Cybersäkerhetslögen fyller detta senare; den förväntas träda i kraft den 15 augusti 2026.