enkätfråga gäller vår patchpolicy för programuppdateringar

Patchpolicy faller under sårbarhetshantering, inte under incidentrespons

Frågan om patchpolicy hör till processen för att upptäcka och åtgärda sårbarheter, inte till incidentrespons. Kunder vill veta om uppdateringar rullas ut strukturerat och i tid, med en åtskillnad mellan kritiska patchar (ofta inom dagar) och regelbundna uppdateringar (ofta enligt en fast cykel av veckor). Ett svar som bara säger "vi uppdaterar regelbundet" är för vagt; vanligen efterfrågas en konkret tidsgräns per riskklass och vem som är ansvarig för att genomföra och kontrollera det.

Om du inte har fastlagda tidsgränser är "nej" det ärliga svaret, även om du i praktiken patchar snabbt. En procedur som bara finns i någons huvud är inte en policy som du kan påvisa. Ofta ställs i samma lista också frågor om denna patchpolicy är en del av en bredare process för riskanalys — om det redan finns fastlagd policy för det kan du inkludera patchpolicy som en del av det i stället för att dokumentera det separat. Observera också omfattningen av frågan: gäller det din egen infrastruktur, produkter som du levererar eller båda. Det avgör om ditt bevis är ett internt policydokument eller en versionskommentar riktad mot kunder.

Kan hänföras till artikel 21 punkt 2 i NIS2

Sårbarhetshantering och avhjälpande av den (hantering och disclosure) anges som en separat åtgärd i artikel 21 punkt 2 i direktiv (EU) 2022/2555, tillsammans med grundläggande rutiner för cyberutbildning. Patchpolicy är den operativa utformningen av denna åtgärd. I ISO/IEC 27001 återkommer detta i bilaga A, under kontrollåtgärderna för teknisk sårbarhetshantering, där timing för patchar uttryckligen anges som kontroll. Enligt cybersäkerhetslagens, den nederländska omvandlingen av NIS2, träder detta krav i kraft den 15 augusti 2026 för de enheter som omfattas av lagen.