dotazník se ptá na naši zásadu oprav pro aktualizace softwaru

Zásady pro záplaty spadají pod správu zranitelností, nikoli pod reakci na incidenty

Otázka týkající se zásad pro záplaty patří do procesem pro odhalování a odstraňování slabých míst, nikoli do reakce na incidenty. Zákazníci chtějí vědět, zda jsou aktualizace zavádějí strukturovaně a včas, s rozlišením mezi kritickými záplatami (často během dnů) a pravidelnými aktualizacemi (často v průběhu pevného cyklu týdnů). Odpověď, která pouze říká "pravidelně aktualizujeme", je příliš vágní; obvykle se požaduje konkrétní lhůta na jednotlivé třídy rizika a informace o tom, kdo je odpovědný za jejich provádění a kontrolu.

Nemáš-li stanovené lhůty, pak je "ne" čestnou odpovědí, i když v praxi opravuješ rychle. Postup, který existuje pouze v něčích hlavě, není politika, kterou můžeš prokázat. Stejná lista často také ptá, zda je tato opravná politika součástí širšího procesu analýzy rizik — pokud již existuje zdokumentovaná politika, můžeš opravnou politiku zahrnout jako součást místo toho, aby sis ji zdokumentoval samostatně. Věnuj pozornost také rozsahu otázky: týká se vaší vlastní infrastruktury, produktů, které dodáváte, nebo obojího. To určuje, zda je váš důkazní materiál interním politickým dokumentem nebo poznámkou k vydání určenou zákazníkům.

Lze jej vysledovat v článku 21 odst. 2 NIS2

Řízení zranitelností a jejich náprava (zpracování a zveřejňování) je uvedena jako samostatné opatření v článku 21 odst. 2 směrnice (EU) 2022/2555, vedle základních postupů pro kybernetickou hygienu. Opravná politika je operativním naplněním tohoto opatření. V normě ISO/IEC 27001 se to vrací v Příloze A, v opatřeních pro technické řízení zranitelností, kde je načasování oprav explicitně uvedeno jako kontrola. V rámci Zákona o kybernetické bezpečnosti, české transpozice NIS2, vstupuje tato povinnost v platnost dne 15. srpna 2026 pro subjekty, které spadají pod zákon.