upitnik pita kako brzo instaliramo zakrpe, što popunim

Rok za primjenu zakrpve spada pod politiku ranjivosti, a ne pod reakciju na incidente

Pitanje o brzini ažuriranja ili primjene zakrpve dio je procesa za upravljanje ranjivostima, jedna od deset mjera iz članka 21 stavka 2 NIS2. Klijenti obično postavljaju ovo pitanje s konkretnim rokom: "u roku od 14 dana za kritične zakrpve" ili "u roku od 30 dana za visok rizik". Ako vaša organizacija ne primjenjuje fiksni rok po nivou ozbiljnosti, nemojte slijepо popuniti jedan od tih brojeva — opišite što se zaista događa, na primjer da se zakrpve rangiraju prema CVSS-rezultatu ili preporuci dobavljača, i da se kritične ranjivosti primjenjuju izvan redovnog ciklusa održavanja.

Dokazi za to obično su politika upravljanja zakrpvama s rokovima koji se primjenjuju po klasi rizika, plus izvadak iz registra zakrpvi ili sustava za praćenje karata koji pokazuje da se ti rokovi zaista ispunjavaju. Ako nedostaje potonje, opis procesa bez mjerenja bolji je od popunjenog roka koji ne možete dokazati. Ova tema se preklapa s procesom za prepoznavanje i ispravljanje ranjivosti — često je to isto pitanje u drugoj upitnici, pa provjerite jesu li već u ketendossieru dostupni odgovori prije nego što ponovno počnete.

Gdje je to u ISO 27001 i članku 21

U ISO/IEC 27001 upravljanje zakrpvama spada pod kontrolne mjere Aneksa A koje se odnose na tehnijske ranjivosti; revizori obično zahtijevaju dokumentirani rok I dokaz usklađenosti tijekom zadnjeg razdoblja, ne samo politiku na papiru. U samoj NIS2 nema fiksnog roka za zakrpve — članaka 21 stavak 2 spominje upravljanje ranjivostima kao obaveznu mjeru, ali prepušta njezinu primjenu entiteti. Ako očekujete da će Zakon o kibernetskoj sigurnosti nakon stupanja na snagu 15. kolovoza 2026. sveobuhvatno propisati rok, provjerite to kod objave konačnog teksta; u ovom trenutku to još nije definirano. Ako i sami nemate numerirane rokove po klasi rizika, to se tiče i pitanja je li postoji politika za analizu rizika i zaštitu informacijskih sustava, jer je rangiranje zakrpvi obično temeljeno na toj analizi rizika.