vragenlijst vraagt hoe snel wij updates en patches doorvoeren

Patchmanagement zit onder kwetsbaarhedenbeleid, niet apart

De vraag naar hoe snel updates en patches worden doorgevoerd, is een deelvraag onder een breder thema: het proces voor het opsporen en verhelpen van kwetsbaarheden. Een klant die dit vraagt, wil weten of er een gestructureerd proces is — niet alleen of er ooit een update wordt geïnstalleerd. Concreet gaat het meestal om drie dingen: is er een vaste cyclus (wekelijks, maandelijks), wordt onderscheid gemaakt naar ernst (een kritieke kwetsbaarheid sneller dan een routinematige update), en is er een uitzonderingsproces voor systemen die niet direct gepatcht kunnen worden.

Als er geen vast proces is, is "nog te bepalen" het eerlijke antwoord — niet omdat het onderwerp onbelangrijk is, maar omdat een geloofwaardig antwoord een bewijsstuk vraagt: een patchbeleid, een overzicht van doorlooptijden per severity-niveau, of een ticketsysteem dat dit registreert. Zonder zo'n stuk is elk concreet getal ("binnen 48 uur", "binnen 14 dagen") niet te onderbouwen richting de klant. Wie dit proces wél heeft maar niet gedocumenteerd, doet er goed aan het eerst op papier te zetten voordat het als "ja" wordt bevestigd. Dit hangt vaak samen met het toegangsbeleid en het beheer van bedrijfsmiddelen: zonder een actueel overzicht van welke systemen en apparaten er zijn, is ook niet vast te stellen of alles daadwerkelijk gepatcht wordt.

Waar dit op teruggaat: artikel 21 lid 2 en Annex A

Patchmanagement is geen apart wettelijk begrip, maar valt onder de maatregelen voor kwetsbaarhedenbeheer die genoemd worden in artikel 21 lid 2 van Richtlijn (EU) 2022/2555 (NIS2), waar "handling of vulnerabilities" een van de tien verplichte maatregelen is voor entiteiten die onder de richtlijn vallen. In ISO/IEC 27001 komt hetzelfde onderwerp terug in Annex A, onder de beheersmaatregelen voor technisch kwetsbaarhedenbeheer. Beide bronnen vragen niet om een specifieke snelheid, maar om een proces dat aantoonbaar werkt. De Nederlandse Cyberbeveiligingswet vult dit later verder in; die treedt naar verwachting op 15 augustus 2026 in werking.