Finns det en process för att identifiera och åtgärda sårbarheter?

Sårbarhetshantering är en av de tio åtgärderna

Ja, detta är en fast fråga i varje NIS2-enkät, eftersom policy för säkerhetsluckor står som en separat del bland de tio åtgärderna i artikel 21 punkt 2. En process förväntas som strukturellt identifierar säkerhetsluckor i programvara, system och nätverk — genom genomsökningar, leverantörsmeddelanden eller hotinformation — och dokumenterar inom vilken tidsram en patch eller workaround tillämpas, beroende på allvarlighetsgrad. En enstaka antiviruslösning eller en tillfällig uppdatering är inget svar på denna fråga; processen efterfrågas, inte verktyget.

Vad som räknas som bevis: ett procedur- eller policydokument med genomsökningsfrekvens, korrigeringstidsfrister per riskklass och en ansvarig funktion. Om det saknas är "nej" eller "delvis" det ehrliga svaret — en löst verktygskomfiguration utan process bakom räcker inte. Kunder ställer denna fråga ofta tillsammans med frågan om det finns en procedur för hantering av säkerhetshändelser, eftersom en missad patch ofta är orsaken till en incident. Sårbarhetshantering kopplas också ibland till frågan om effektiviteten av åtgärderna granskas periodiskt, eftersom en genomsökningsprocess utan kontroll av uppföljning i praktiken är en pappersprocess.

Där det står i direktivet: artikel 21 punkt 2

Artikel 21 punkt 2 i direktiv (EU) 2022/2555 nämner "handling of vulnerabilities" uttryckligen som en av de tio åtgärderna som faller under riskhanteringsåtgärderna som entiteter måste vidta. Själva direktivet föreskriver ingen genomsökningsfrekvens eller korrigeringsfrist — denna detaljnivå lämnas till egen riskanalys och, där tillämpligt, till sektoriell eller nationell utarbetning. En enkät som frågar om ett konkret tal (till exempel "kritiska patchar inom X dagar") testar således en egen norm från mottagaren, inte ett NIS2-minimum. Vid ifyllning bör man vara uppmärksam på skillnaden mellan "vi har en process" och "vi uppfyller alltid vår egen deadline" — det är två olika svar på två olika frågor, även om enkäten slår ihop dem.