enkäten frågar hur snabbt vi installerar patches, vad fyller jag i

Patchningstidsfrist faller under sårbarhetspolicy, inte under incidenthantering

Frågan om uppdaterings- eller patchningstakt hör till processen för sårbarhetshantering, en av de tio åtgärderna enligt artikel 21 stycke 2 i NIS2. Kunder ställer denna fråga vanligtvis tillsammans med en konkret tidsfrist: "inom 14 dagar för kritiska patchar" eller "inom 30 dagar för hög risk". Om din organisation inte tillämpar en fast tidsfrist per allvarlighetsgrad, fyll då inte blint in något av dessa nummer — beskriver vad som verkligen händer, till exempel att patchar prioriteras baserat på en CVSS-poäng eller tillverkarens rekommendation, och att kritiska sårbarheter distribueras utanför den vanliga underhållscykeln.

Bevis för detta är vanligtvis en patchhanteringspolicy med de tidsfrister som tillämpas per riskklass, plus ett utdrag ur patchregistret eller ticketsystemet som visar att dessa tidsfrister också uppnås i praktiken. Om det senare saknas är en processprocedurbeskrivning utan mätningar bättre än en ifylld tidsfrist som du inte kan styrka. Detta ämne överlappar med processen för att upptäcka och åtgärda sårbarheter — ofta är det en och samma fråga i en annan enkät, så kontrollera om du redan har ett svar i kedjedokumentet innan du börjar på nytt.

Där detta finns i ISO 27001 och artikel 21

I ISO/IEC 27001 faller patchhantering under kontrollåtgärderna i bilaga A som rör tekniska sårbarheter; revisorer frågar vanligtvis om en dokumenterad tidsfrist och om bevis på efterlevnad under den senaste perioden, inte bara om policyn på papper. I själva NIS2 finns ingen fast patchtidsfrist — artikel 21 stycke 2 nämner sårbarhetshantering som obligatorisk åtgärd, men lämnar utformningen till enheten. Om du förväntar dig att cybersäkerhetslag efter ikraftträdandet den 15 augusti 2026 faktiskt föreskriver en konkret tidsfrist, kontrollera det vid publicering av den slutgiltiga texten; för närvarande är det inte fastställt. Om du själv ännu inte har numrerade tidsfrister per riskklass påverkar detta också frågan om det finns policy för riskanalys och säkerhet av informationssystemeftersom prioriteringen av patchar vanligtvis baseras på den riskanalysen.