A kérdőív azt kérdezi, milyen gyorsan hajtjuk végre a frissítéseket és javításokat

A patchmendzsment a sebezhetőségi politika részét képezi, nem önálló terület

A kérdés arról, hogy milyen gyorsan kerülnek be az frissítések és foltok, egy részleges kérdés egy szélesebb téma alatt: a sebezhetőségek felderítésére és elhárítására irányuló folyamattal. Egy olyan ügyfél, aki ezt kérdezi, azt szeretné tudni, hogy van-e strukturált folyamat — nem csak azt, hogy valaha telepítenek-e egy frissítést. Konkréten általában három dologról van szó: van-e rögzített ciklus (heti, havi), megkülönböztetnek-e súlyosság szerint (egy kritikus sebezhetőség gyorsabban, mint egy rutinszerű frissítés), és van-e kivételi folyamat azokra a rendszerekre, amelyeket nem lehet közvetlenül foltozni.

Ha nincs rögzített folyamat, a "még meghatározandó" a becsületes válasz — nem azért, mert a téma lényegtelen, hanem mert a hiteles válasz bizonylatot igényel: egy foltpolitikát, az átfutási idők összefoglalóját súlyossági szintenként, vagy egy olyan jegykiadási rendszert, amely ezt rögzíti. Ilyen bizonylattalán minden konkrét szám ("48 órán belül", "14 napon belül") nem igazolható az ügyfél felé. Aki ezt a folyamatot ugyan rendelkezésre tartja, de nem dokumentálta, jól teszi, ha előbb papírra veti, mielőtt "igen"-ként megerősítené. Ez gyakran összefügg a hozzáférési szabályzat és az üzleti eszközök kezelése-val: egy aktuális áttekintés nélkül arról, hogy milyen rendszerek és eszközök vannak jelen, nem állapítható meg, hogy minden valóban meg lesz-e foltva.

Melyre ez visszavezethető: 21. cikk 2. bekezdés és A. melléklet

A patchmendzsment nem önálló jogi fogalom, hanem az (EU) 2022/2555 irányelv (NIS2) 21. cikk 2. bekezdésében említett sebezhetőségkezelési intézkedések részét képezi, ahol a "handling of vulnerabilities" az az irányelv hatálya alá tartozó entitások számára tíz kötelező intézkedés közül egy. Az ISO/IEC 27001 szabványban ugyanez a téma az A. mellékletben ismét megjelenik a technikai sebezhetőségkezelés irányítási intézkedései között. Mindkét forrás nem egy adott sebességet kér, hanem egy olyan folyamatot, amely bizonyíthatóan működik. A holland Kibertörvény később ezt kitöltésbe viszi; várható bevezetésének időpontja 2026. augusztus 15.