spørgeskemaet spørger, hvor hurtigt vi gennemfører opdateringer og patches

Patchstyring falder under politik for håndtering af sårbarheder, ikke separat

Spørgsmålet om hvor hurtigt opdateringer og patches implementeres, er et underspørgsmål under et bredere emne: processen for identificering og udbedring af sårbarheder. En kunde, der stiller dette spørgsmål, ønsker at vide, om der er en struktureret proces — ikke blot om der nogensinde installeres en opdatering. Konkret drejer det sig normalt om tre ting: findes der en fast cyklus (ugentlig, månedlig), skelnes der mellem alvorlighed (en kritisk sårbarhed hurtigere end en rutinemæssig opdatering), og findes der en undtagelsesproces for systemer, der ikke kan patches direkte.

Hvis der ikke er en fast proces, er "endnu ikke fastlagt" det ærlige svar — ikke fordi emnet er ubetydeligt, men fordi et troværdigt svar kræver dokumentation: en patchpolitik, en oversigt over gennemløbstider pr. severity-niveau, eller et ticketsystem, der registrerer dette. Uden sådan dokumentation kan ethvert konkret tal ("inden for 48 timer", "inden for 14 dage") ikke underbygges over for kunden. Den, der har denne proces, men ikke har dokumenteret den, gør klogt i først at nedskrive den på papir, før det bekræftes som "ja". Dette hænger ofte sammen med adgangspolitikken og styringen af virksomhedsressourcer: uden en aktuel oversigt over, hvilke systemer og enheder der findes, kan det heller ikke fastslås, om alt faktisk bliver patched.

Hvor dette er baseret på: artikel 21 stk. 2 og Bilag A

Patchstyring er ikke et separat juridisk begreb, men falder under foranstaltningerne for håndtering af sårbarheder, der er nævnt i artikel 21 stk. 2 i Direktiv (EU) 2022/2555 (NIS2), hvor "handling of vulnerabilities" er en af de ti obligatoriske foranstaltninger for enheder, der falder under direktivet. I ISO/IEC 27001 vender det samme emne tilbage i Bilag A under beheersmaatregelen for teknisk håndtering af sårbarheder. Begge kilder kræver ikke en specifik hastighed, men en proces, der påviselig fungerer. Den danske Cybersikkerhedslov udfylder dette senere yderligere; den forventes at træde i kraft den 15. august 2026.