chestionarul întreabă cât de repede instalăm patch-uri, ce completez

Termenul de corectare face parte din politica de gestionare a vulnerabilităților, nu din răspunsul la incidente

Întrebarea privind viteza actualizării sau corecției face parte din procesul de gestionare a vulnerabilităților, una dintre cele zece măsuri din articolul 21 alineatul 2 NIS2. Clienții întreabă de obicei cu un termen concret: "în termen de 14 zile pentru corecții critice" sau "în termen de 30 de zile pentru risc ridicat". Dacă organizația ta nu utilizează un termen fix pe nivel de severitate, nu completa oarbă una dintre aceste numere — descrie ce se întâmplă cu adevărat, de exemplu că corecțiile sunt prioritizate pe baza unui scor CVSS sau unei recomandări a furnizorului, și că vulnerabilități critice sunt implementate în afara ciclului de întreținere regulată.

Dovezile pentru aceasta sunt de obicei o politică de gestionare a corecțiilor cu termenele aplicate pe clasă de risc, plus un extras din registrul de corecții sau sistemul de tickete care arată că acei termeni sunt respectați. Dacă ultimul lipsește, o descriere a procesului fără măsurători este mai bună decât un termen completat pe care nu-l poți justifica. Acest subiect se suprapune cu procesul de detectare și remediere a vulnerabilităților — de obicei este aceeași întrebare într-o altă chestionare, deci verifică dacă ai deja un răspuns în dosarul lanțului înainte să reiei.

Unde apare aceasta în ISO 27001 și articolul 21

În ISO/IEC 27001, gestionarea corecțiilor face parte din măsurile de control din Anexa A care se referă la vulnerabilități tehnice; auditorii cer de obicei un termen documentat și dovezi de conformitate pe perioada anterioară, nu doar politica pe hârtie. În NIS2 însuși nu există un termen fix de corectare — articolul 21 alineatul 2 menționează gestionarea vulnerabilităților ca măsură obligatorie, dar lasă implementarea entității. Dacă te aștepți ca Legea de securitate cibernetică după intrarea în vigoare la 15 august 2026 să prescrie într-adevăr un termen concret, verifică asta la publicarea textului final; în prezent nu este încă stabilit. Dacă tu însuți nu ai termeni numerotați pe clasă de risc, aceasta atinge și întrebarea dacă există o politică pentru analiza riscurilor și protecția sistemelor informatice, deoarece prioritizarea patch-urilor se bazează de obicei pe acea analiză de risc.