zoznam otázok sa pýta, ako rýchlo zavadzujeme aktualizácie a záplaty

Správa záplat patrí pod politiku zraniteľnosti, nie samostatne

Otázka na to, ako rýchlo sa aktualizácie a záplaty nasadzujú, je čiastková otázka v rámci širšej témy: procesom na detekciu a opravu zraniteľnostíZákazník, ktorý to požaduje, chce vedieť, či existuje štruktúrovaný proces — nie len to, či sa niekedy nainštaluje aktualizácia. Konkrétne ide zvyčajne o tri veci: či existuje pevný cyklus (týždenne, mesačne), či sa robí rozlíšenie podľa závažnosti (kritická zraniteľnosť rýchlejšie ako rutinná aktualizácia), a či existuje výnimočný proces pre systémy, ktoré sa nedajú patchovať okamžite.

Ak neexistuje pevný proces, je "ešte sa určí" čestná odpoveď — nie preto, že je téma nedôležitá, ale preto, že veľa­húk, a návod sa bez neho nevie „presne politike prístupu a správe podnikových aktív. Bez takého dokumentu nie je žiadne konkrétne číslo ("do 48 hodín", "do 14 dní") k zdôvodneniu voči zákazníkovi. Kto má tento proces, ale nie je zdokumentovaný, robí dobre, ak si ho najskôr napíše, skôr ako sa to potvrdí ako "áno". To často súvisí s tým, že bez aktuálneho prehľadu, ktoré systémy a zariadenia existujú, tiež nie je možné určiť, či sa všetko skutočne opraví.

Kde sa to vracia: článok 21 odsek 2 a Príloha A

Správa záplat nie je samostatným právnym pojmom, ale patrí medzi opatrenia na správu zraniteľnosti uvedené v článku 21 odsek 2 Smernice (EÚ) 2022/2555 (NIS2), kde "handling of vulnerabilities" je jedným z desiatich povinných opatrení pre subjekty, na ktoré sa smernica vzťahuje. V ISO/IEC 27001 sa rovnaká téma objavuje aj v Prílohe A, medzi kontrolnými opatreniami pre technickú správu zraniteľnosti. Obidve zdroje nevyžadujú špecifickú rýchlosť, ale proces, ktorý preukázateľne funguje. Holandský zákon o kybernetickej bezpečnosti to neskôr ďalej doplní; vstúpi do platnosti podľa očakávania 15. augusta 2026.