NIS-2 · Art. 21 §2e
NIS2-021e-PATCH
Strukturiertes Patch-Management mit SLAs einführen
Anforderung
Sicherheit beim Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen – einschließlich Umgang mit Schwachstellen und deren Offenlegung.
Fundstelle
NIS-2 Art. 21 §2e
Gap-Check
Existiert ein dokumentierter Patch-Management-Prozess mit definierten SLAs für kritische Schwachstellen (z.B. CVSS ≥ 9: 24h, CVSS ≥ 7: 72h)?
Wenn ja
SLAs und Ausnahmen dokumentieren und regelmäßig messen.
Teilweise
Prozess vorhanden aber keine messbaren SLAs oder Ausnahmeregelungen.
Wenn nein
Kein strukturiertes Patch-Management – kritisches Sicherheitsrisiko.
Maßnahme
- Vulnerability-Scanner einsetzen (Qualys, Nessus, OpenVAS)
- SLAs definieren: CVSS ≥ 9 → 24h, CVSS ≥ 7 → 72h, CVSS ≥ 4 → 7 Tage
- Ausnahmeprozess für nicht patchbare Systeme mit Workarounds dokumentieren
- Monatliches Patch-Reporting an Leitungsebene
Aufwand
mittel
Schätzung
4 bis 8 Personentage (Prozess + Scanner-Einrichtung)
Zeithorizont
kurzfristig
Hilfsmittel
Vulnerability-Scanner, Patch-Management-Tool, SLA-Tracking
Vertiefung
NIS-2 Survival Kit, Kap. 8 – Patch- und Schwachstellenmanagement
Risiko
Ungepatchte Schwachstellen sind häufigste Angriffsvektoren bei Ransomware.
Eintritt
4 von 5
Auswirkung
4 von 5
Bußgeldrahmen
10.000.000 EUR oder 2% Jahresumsatz
NIS-2 Art. 34 – je nachdem was höher ist
Control und Nachweis
Control
Automatisiertes Patch-Management mit CVSS-basierten SLAs und monatlichem Reporting
Art
technisch
Dringlichkeit
sofort
Nachweis
Patch-Policy + SLA-Tracking + Scan-Reports
Vorlage
Patch-Management-Policy
Verknüpfungen
Querverweise
CRA Anh. I §2a, ISO 27001 A.12.6.1
ISO 27001:2022
A.12.6.1, A.14.2.3 (vollständig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json