§ 30 Abs. 2 Nr. 5 BSIG · Schwachstellenmanagement
Gibt es ein Patch-Management mit festgelegten Fristen je Kritikalität?
Worum geht es bei dieser Anforderung?
§ 30 Abs. 2 Nr. 5 BSIG verlangt Management und Offenlegung von Schwachstellen, aber keine festen Patchfristen. Dokumentierte, risikobasierte Behebungsfristen je Kritikalität sind eine geeignete Umsetzung; die Zielzeiten legt das Unternehmen selbst fest.
Was Sie konkret prüfen sollten
- 01Ist der Patch-Prozess dokumentiert?
- 02Deckt er alle Systemklassen ab - Server, Clients, Netzgeräte/Appliances (Firewall, Switches), Drittsoftware und OT-Systeme?
- 03Sind Fristen je Kritikalität festgelegt und dokumentiert?
- 04Werden sie eingehalten und Ausnahmen begründet?
- 05Gibt es Patch-Compliance-Reports?
Wo der Nachweis liegt
Typische Fundstelle für den Nachweis:
Patch-Management-Richtlinie / Tool-Report
Weiterführende QuelleBereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten