NIS2 legt geen expliciete verplichting op die uitsluitend over patchmanagement gaat, maar patchmanagement valt rechtstreeks onder de zorgplicht die de richtlijn oplegt aan organisaties. Concreet betekent dit dat organisaties verplicht zijn passende technische maatregelen te nemen om de integriteit en beschikbaarheid van hun systemen te waarborgen, en het tijdig doorvoeren van beveiligingsupdates is daar een onlosmakelijk onderdeel van. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 patchmanagement, van concrete verplichtingen tot het opbouwen van een compliant patchproces.
Welke specifieke patchverplichtingen legt NIS2 op aan organisaties?
NIS2 verplicht organisaties om passende en evenredige technische maatregelen te nemen voor de beveiliging van hun netwerk- en informatiesystemen. Patchmanagement wordt niet als losstaande verplichting benoemd, maar valt expliciet onder de zorgplicht, met name onder de minimummaatregelen voor de beveiliging bij verwerving, ontwikkeling en onderhoud van systemen en het beleid voor risicoanalyse en beveiliging van informatiesystemen.
De NIS2-richtlijn, in Nederland omgezet via de Cyberbeveiligingswet (Cbw), stelt dat organisaties een risicogebaseerde aanpak moeten hanteren. Dat betekent dat patchmanagement niet willekeurig mag zijn: er moet een gestructureerd beleid achter zitten dat bepaalt welke kwetsbaarheden prioriteit krijgen, hoe snel patches worden uitgerold en wie daarvoor verantwoordelijk is.
De volgende minimummaatregelen uit NIS2 zijn direct relevant voor patchmanagement:
- Beleid voor risicoanalyse: kwetsbaarheden in systemen moeten worden geïdentificeerd en beoordeeld op risico
- Beveiliging bij onderhoud van systemen: updates en patches zijn een kernelement van systeemonderhoud
- Bedrijfscontinuïteit: niet-gepatchte systemen vormen een risico voor de continuïteit van dienstverlening
- Supply chain security: ook software van leveranciers moet worden meegenomen in het patchbeleid
Voor organisaties die onder de overheid vallen, geldt bovendien de Baseline Informatiebeveiliging Overheid 2 (BIO2) als normatief kader. Deze norm werkt de NIS2-zorgplicht concreet uit en bevat specifieke eisen rondom patchbeleid en compliance.
Hoe snel moeten patches worden doorgevoerd onder NIS2?
NIS2 schrijft geen vaste patchdeadlines voor in dagen of weken. In plaats daarvan geldt een risicogebaseerde norm: patches moeten worden doorgevoerd binnen een termijn die proportioneel is aan de ernst van de kwetsbaarheid en het risico dat deze vormt voor de organisatie en haar dienstverlening. Hoe groter het risico, hoe sneller actie vereist is.
In de praktijk hanteren veel organisaties als richtlijn de ernst van de kwetsbaarheid op basis van een erkend systeem zoals CVSS (Common Vulnerability Scoring System):
- Kritieke kwetsbaarheden (CVSS 9.0+): binnen 24 tot 72 uur patchen of mitigerende maatregelen treffen
- Hoge kwetsbaarheden (CVSS 7.0 tot 8.9): binnen 7 tot 14 dagen
- Gemiddelde kwetsbaarheden (CVSS 4.0 tot 6.9): binnen 30 dagen
- Lage kwetsbaarheden (CVSS onder 4.0): op basis van reguliere patchcycli
Wat NIS2 wel concreet vereist, is dat de organisatie kan aantonen dat zij een bewuste afweging heeft gemaakt. Als een patch niet onmiddellijk kan worden doorgevoerd, bijvoorbeeld vanwege afhankelijkheden in productieomgevingen, moet er een gedocumenteerde risicobeoordeling zijn met compenserende maatregelen. Stilzitten zonder onderbouwing is onder de NIS2-zorgplicht niet acceptabel.
Welke systemen vallen onder de patchmanagement-eisen van NIS2?
Alle netwerk- en informatiesystemen die een organisatie gebruikt voor het leveren van haar diensten vallen onder de NIS2-eisen voor patchmanagement. Dit is breed gedefinieerd: servers, werkstations, netwerkapparatuur, cloudomgevingen, operationele technologie (OT) en ook software van externe leveranciers die toegang heeft tot de systemen van de organisatie.
Organisaties maken soms de fout om patchmanagement te beperken tot de meest zichtbare systemen, zoals Windows-servers en laptops. NIS2 vereist echter een bredere scope:
- On-premise infrastructuur: servers, firewalls, switches, routers en andere netwerkapparatuur
- Eindgebruikersapparatuur: laptops, desktops en mobiele apparaten die toegang hebben tot bedrijfssystemen
- Cloudomgevingen: ook hier geldt de verantwoordelijkheid voor configuratie en updates, ook al beheert de cloudprovider een deel
- Operationele technologie: industriële systemen en IoT-apparaten die onderdeel zijn van de dienstverlening
- Softwareapplicaties: zowel commerciële software als zelf ontwikkelde applicaties
- Leverancierssoftware: third-party tools en systemen die via de toeleveringsketen zijn verbonden
De supply chain-dimensie verdient extra aandacht. NIS2 verplicht organisaties om inzicht te hebben in de cybersecuritymaatregelen van hun leveranciers, inclusief hoe zij omgaan met softwareupdates en kwetsbaarheden in producten die zij leveren.
Wat moet er worden gedocumenteerd om NIS2-compliance aan te tonen?
Om NIS2-compliance op het gebied van patchmanagement aan te tonen, moet een organisatie kunnen bewijzen dat zij een gestructureerd, risicogebaseerd patchproces heeft ingericht en dat dit proces actief wordt uitgevoerd. Documentatie is daarbij het bewijs: toezichthouders kunnen hierom vragen, en zonder aantoonbaar beleid en uitvoering is compliance niet te verdedigen.
De minimale documentatie die een organisatie op orde moet hebben:
- Patchbeleid: een schriftelijk beleidsdocument dat de scope, verantwoordelijkheden, prioritering en doorlooptijden beschrijft
- Kwetsbaarhedenregister: een actueel overzicht van geïdentificeerde kwetsbaarheden en de status van de bijbehorende patches
- Risicobeoordelingen: voor gevallen waarin een patch niet onmiddellijk wordt doorgevoerd, een onderbouwde risicobeoordeling met compenserende maatregelen
- Patchlogs: registratie van welke patches wanneer zijn toegepast op welke systemen
- Testresultaten: bewijs dat patches zijn getest vóór uitrol in productieomgevingen
- Incidentregistratie: als een kwetsbaarheid heeft geleid tot een incident, moet de relatie met patchmanagement worden gedocumenteerd
Naast deze operationele documentatie vereist NIS2 ook dat het bestuur aantoonbaar betrokken is bij cybersecuritybeslissingen. Verslagen van bestuursvergaderingen waarin patchmanagement of kwetsbaarheden zijn besproken, dragen bij aan het aantonen van bestuurlijke verantwoordelijkheid.
Wat zijn de gevolgen van gebrekkig patchmanagement onder NIS2?
Gebrekkig patchmanagement onder NIS2 kan leiden tot zowel operationele schade als formele sancties. Essentiële entiteiten riskeren boetes tot maximaal 10 miljoen euro of 2% van hun wereldwijde jaaromzet; voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Daarnaast kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.
De financiële sancties zijn echter niet het enige risico. Gebrekkig patchmanagement heeft ook directe operationele gevolgen:
- Verhoogde kans op een succesvolle cyberaanval: niet-gepatchte kwetsbaarheden zijn een van de meest gebruikte aanvalsvectoren door kwaadwillenden
- Meldplicht bij incidenten: als een cyberincident plaatsvindt als gevolg van een niet-gepatchte kwetsbaarheid, moet dit binnen 24 uur worden gemeld bij de toezichthouder, met een eindverslag binnen een maand
- Reputatieschade: een incident dat herleidbaar is tot nalatig patchbeheer schaadt het vertrouwen van klanten, partners en burgers
- Toezichtsmaatregelen: toezichthouders kunnen corrigerende maatregelen opleggen, audits gelasten of in het uiterste geval de dienstverlening tijdelijk stilleggen
Een bijkomend risico betreft de toeleveringsketen. Als een organisatie zelf slachtoffer wordt van een aanval via een niet-gepatchte kwetsbaarheid en daarmee schade veroorzaakt bij partners of afnemers, kan dit ook leiden tot civielrechtelijke aansprakelijkheid buiten de NIS2-sancties om.
Hoe bouw je een NIS2-compliant patchproces op?
Een NIS2-compliant patchproces begint met een risicogebaseerd patchbeleid dat de volledige scope van systemen omvat, duidelijke verantwoordelijkheden belegt en prioritering koppelt aan de ernst van kwetsbaarheden. Het proces moet aantoonbaar zijn ingericht, actief worden uitgevoerd en periodiek worden geëvalueerd.
De stappen voor een solide patchproces zijn:
- Stel een compleet systeeminventaris op: je kunt alleen patchen wat je kent. Zorg voor een actueel overzicht van alle systemen, applicaties en software in de organisatie, inclusief leveranciersoplossingen.
- Schrijf een patchbeleid: leg vast wie verantwoordelijk is, welke prioriteringslogica wordt gehanteerd, wat de maximale doorlooptijden zijn per risicocategorie en hoe uitzonderingen worden behandeld.
- Implementeer kwetsbaarhedenscanning: gebruik geautomatiseerde tools om continu nieuwe kwetsbaarheden te detecteren. Een penetratietest of vulnerability scan helpt ook verborgen zwakke plekken aan het licht te brengen.
- Prioriteer op basis van risico: niet elke patch heeft dezelfde urgentie. Koppel de ernst van de kwetsbaarheid aan de context van het systeem en de mogelijke impact op de dienstverlening.
- Test voor uitrol: kritieke patches moeten worden getest in een acceptatieomgeving voordat ze in productie worden uitgerold, om verstoringen te voorkomen.
- Documenteer alles: registreer welke patches zijn toegepast, wanneer, op welke systemen en door wie. Bewaar ook risicobeoordelingen voor uitgestelde patches.
- Evalueer het proces periodiek: NIS2 verwacht een levend proces. Voer regelmatig audits uit op de effectiviteit van het patchproces en pas het beleid aan op basis van nieuwe dreigingen of gewijzigde systeemomgevingen.
Voor organisaties die werken met operationele technologie of complexe leveranciersketens is het raadzaam ook kwetsbaarhedenonderzoek te laten uitvoeren op specifieke systemen die buiten de standaard patchcycli vallen.
Hoe Q-Cyber helpt met NIS2 patchmanagement
NIS2-compliant patchmanagement opzetten is meer dan een technische exercitie. Het vraagt om beleid, documentatie, risicobeoordelingen en bestuurlijke betrokkenheid. Wij helpen organisaties dit concreet en pragmatisch in te richten, zonder afhankelijkheid van softwarepartijen of leveranciers.
Wat wij voor uw organisatie kunnen doen:
- Gap-analyse: we brengen in kaart waar uw huidige patchproces tekortschiet ten opzichte van de NIS2-zorgplicht
- Patchbeleid op maat: we schrijven een concreet, werkbaar patchbeleid dat aansluit op uw organisatiestructuur en risicoprofiel
- Vulnerability scans en pentests: we identificeren kwetsbaarheden in uw systemen die direct aandacht vereisen
- Documentatieondersteuning: we helpen u de juiste documentatie op te bouwen waarmee u compliance kunt aantonen bij toezichthouders
- Virtuele CISO via Continuous-Q: voor organisaties die structurele begeleiding nodig hebben, bieden we een team van specialisten dat uw cybersecurityprocessen, inclusief patchmanagement, continu bewaakt en verbetert
- Trainingen voor bestuurders: we zorgen dat uw leiding de kennis heeft om weloverwogen beslissingen te nemen over cybersecurity
De Rijksoverheid adviseert organisaties niet te wachten totdat de Cyberbeveiligingswet formeel in werking treedt. De risico’s zijn er nu al. Wilt u weten waar uw organisatie staat en hoe u een NIS2-compliant patchproces opbouwt? Neem contact met ons op voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Single sign-on (SSO): voordelen en risico's
- Betekent een pentestrapport zonder critical findings dat je veilig bent?
- Wat is malware en welke soorten zijn er?
- Hoe meet je het effect van security awareness?
- Hoe voer je een risicoanalyse uit voor informatiebeveiliging?
- Hoe stel je een incidentresponsplan op?
- Hoe controleer ik of onbekenden toegang hebben gehad tot onze database?
- Wat kost een professionele pentest?
- Hoe lang duurt een pentest?