Gibt es einen Prozess zum Aufdecken und Beheben von Schwachstellen?

Vulnerability Management ist eine der zehn Maßnahmen

Ja, dies ist eine Standardfrage in jedem NIS2-Fragebogen, denn die Schwachstellenpolitik ist als separater Bestandteil zwischen den zehn Maßnahmen von Artikel 21 Absatz 2 aufgeführt. Es wird erwartet, dass ein Prozess Schwachstellen in Software, Systemen und Netzwerken systematisch aufdeckt — durch Scans, Meldungen von Lieferanten oder Threat Intelligence — und dokumentiert, innerhalb welcher Frist ein Patch oder Workaround angewendet wird, abhängig vom Schweregrad. Eine einzelne Antivirenlösung oder gelegentliche Aktualisierung ist keine Antwort auf diese Frage; gefragt wird nach dem Prozess, nicht nach dem Werkzeug.

Was als Nachweis gilt: ein Verfahrens- oder Richtliniendokument mit Scan-Häufigkeit, Patch-Zeiträume nach Risikokategorie und eine verantwortliche Funktion. Fehlt das, dann ist "nein" oder "teilweise" die ehrliche Antwort — eine isolierte Tool-Konfiguration ohne dahintersteckendem Prozess reicht nicht aus. Kunden fragen dies häufig in Kombination mit der Frage ob ein Verfahren zur Behandlung von Sicherheitsvorfällen vorhanden ist, da ein versäumter Patch oft die Ursache eines Vorfalls ist. Vulnerability Management wird auch manchmal mit der Frage gekoppelt ob die Wirksamkeit von Maßnahmen regelmäßig überprüft wird, denn ein Scan-Prozess ohne Kontrolle der Umsetzung ist in der Praxis ein Papierprozess.

Wo das in der Richtlinie steht: Artikel 21 Absatz 2

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt "handling of vulnerabilities" wörtlich als eine der zehn Maßnahmen, die unter die Risikomanagementmaßnahmen fallen, die Einrichtungen ergreifen müssen. Die Richtlinie selbst schreibt keine Scan-Häufigkeit oder Patch-Frist vor — dieses Detailniveau wird der eigenen Risikobewertung und gegebenenfalls sektoralen oder nationalen Umsetzungen überlassen. Ein Fragebogen, der eine konkrete Zahl abfragt (beispielsweise "kritische Patches innerhalb von X Tagen"), prüft daher eine eigene Norm des Auftraggeber, nicht ein NIS2-Minimum. Achten Sie beim Ausfüllen auf den Unterschied zwischen "wir haben einen Prozess" und "wir erreichen immer unsere eigene Frist" — das sind zwei verschiedene Antworten auf zwei verschiedene Fragen, auch wenn der Fragebogen sie zusammenfasst.