o questionário pergunta com que rapidez instalamos patches, o que devo preencher

O prazo de patch está enquadrado na política de vulnerabilidades, não na resposta a incidentes

A questão sobre a velocidade de atualização ou patch está integrada no processo de gestão de vulnerabilidades, uma das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2. Os clientes costumam colocar esta questão com um prazo concreto: "dentro de 14 dias para patches críticas" ou "dentro de 30 dias para risco elevado". Se a sua organização não utiliza um prazo fixo por nível de gravidade, não preencha cegamente um desses números — descreva o que realmente acontece, por exemplo, que os patches são priorizados com base numa pontuação CVSS ou recomendações do fornecedor, e que as vulnerabilidades críticas são implementadas fora do ciclo de manutenção regular.

A comprovação geralmente consiste numa política de gestão de patches com os prazos aplicados por classe de risco, além de um extrato do registo de patches ou sistema de tickets que demonstre que esses prazos são realmente cumpridos. Se faltarem estes últimos, uma descrição do processo sem medições é preferível a um prazo preenchido que não consiga comprovar. Este tópico sobrepõe-se a o processo de deteção e correção de vulnerabilidades — muitas vezes é a mesma questão noutro questionário, portanto verifique se já tem uma resposta no dossiê da cadeia antes de começar novamente.

Onde isto consta da ISO 27001 e do artigo 21.º

Na ISO/IEC 27001, a gestão de patches enquadra-se nas medidas de controlo do Anexo A que lidam com vulnerabilidades técnicas; os auditores geralmente solicitam um prazo documentado e provas de conformidade durante o período anterior, não apenas a política no papel. Na própria Diretiva NIS2 não existe um prazo de patch fixo — o artigo 21.º, n.º 2 menciona a gestão de vulnerabilidades como medida obrigatória, mas deixa a implementação a cargo da entidade. Se antecipar que a Lei de Cibersegurança após a entrada em vigor em 15 de agosto de 2026 prescrever um prazo concreto, verifique quando da publicação do texto final; por enquanto, isso ainda não foi estabelecido. Se ainda não tem prazos numerados por classe de risco, isto também afeta a questão de se existe política para análise de risco e proteção de sistemas de informaçãoporque a priorização de patches é geralmente baseada nessa análise de risco.