Is er een proces voor het opsporen en verhelpen van kwetsbaarheden?

Vulnerability management is een van de tien maatregelen

Ja, dit is een vaste vraag in elke NIS2-vragenlijst, want kwetsbaarhedenbeleid staat als apart onderdeel tussen de tien maatregelen van artikel 21 lid 2. Verwacht wordt een proces dat kwetsbaarheden in software, systemen en netwerken structureel opspoort — via scans, meldingen van leveranciers of threat intelligence — en dat vastlegt binnen welke termijn een patch of workaround wordt toegepast, afhankelijk van de ernst. Een enkele antivirusoplossing of incidentele update is geen antwoord op deze vraag; gevraagd wordt naar het proces, niet naar het middel.

Wat als bewijsstuk telt: een procedure of policy-document met scanfrequentie, patchtermijnen per risicoklasse en een verantwoordelijke functie. Ontbreekt dat, dan is "nee" of "deels" het eerlijke antwoord — een losse tool-configuratie zonder proces erachter volstaat niet. Klanten vragen dit vaak in combinatie met de vraag of er een procedure is voor het behandelen van beveiligingsincidenten, omdat een gemiste patch nu eenmaal vaak de oorzaak van een incident is. Ook wordt vulnerability management soms gekoppeld aan de vraag of de doeltreffendheid van maatregelen periodiek wordt getoetst, want een scanproces zonder controle op opvolging is in de praktijk een papieren proces.

Waar dat in de richtlijn staat: artikel 21 lid 2

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt "handling of vulnerabilities" letterlijk als een van de tien maatregelen die onder de risicobeheersmaatregelen vallen die entiteiten moeten nemen. De richtlijn zelf schrijft geen scanfrequentie of patchtermijn voor — dat detailniveau wordt overgelaten aan de eigen risicoanalyse en, waar van toepassing, aan sectorale of nationale uitwerking. Een vragenlijst die om een concreet getal vraagt (bijvoorbeeld "kritieke patches binnen X dagen"), toetst dus een eigen norm van de afnemer, niet een NIS2-minimum. Let bij het invullen op het onderscheid tussen "wij hebben een proces" en "wij halen altijd onze eigen deadline" — dat zijn twee verschillende antwoorden op twee verschillende vragen, ook als de vragenlijst ze samenvoegt.