Vulnerability management en patchbeheer zijn het gestructureerde proces waarmee een organisatie kwetsbaarheden in haar netwerk- en informatiesystemen identificeert, prioriteert en verhelpt door het tijdig installeren van beveiligingsupdates. Onder de Europese NIS-2-richtlijn en de bijbehorende uitvoeringsregels is dit proces niet langer een aanbeveling, maar een afdwingbare wettelijke verplichting waarop toezichthouders actief handhaven.
Waarom patchbeheer de zwaarste NIS-2-implementatielast is
Van alle maatregelen die NIS-2 voorschrijft, wordt vulnerability management door organisaties het vaakst als meest belastend ervaren, om een eenvoudige reden: het is nooit klaar. Nieuwe kwetsbaarheden verschijnen dagelijks, prioritering vereist technische kennis, en elke vertraging vergroot het aanvalsoppervlak direct.
Statistiek: Volgens het ENISA NIS Investment Report 2023 geeft meer dan 40% van de ondervraagde essential entities aan dat patch- en vulnerability management de hoogste operationele belasting vormt van alle NIS-2-maatregelen (bron: ENISA, 2023, enisa.europa.eu).
De wettelijke grondslag staat in artikel 21(2) van de NIS-2-richtlijn zelf, maar de concrete technische en methodologische uitwerking volgt uit de NIS-2 Implementing Regulation (EU) 2024/2690. Die verordening is rechtstreeks toepasselijk in alle lidstaten en vereist onder meer dat essential en important entities een gedocumenteerd beleid hebben voor het beheer van kwetsbaarheden, inclusief procedures voor het testen en uitrollen van patches, en een risicoclassificatie op basis van erkende scoringsmethoden zoals het Common Vulnerability Scoring System (CVSS).
Juhan Lepassaar, uitvoerend directeur van ENISA, stelde bij de presentatie van de ENISA NIS360-editie: “Vulnerability management is not optional under NIS-2; it is a baseline obligation that national authorities will actively scrutinize during supervision.”
De EUVD: Europese kwetsbaarhedendatabank als verplichte referentie
ENISA beheert de European Union Vulnerability Database (EUVD), bereikbaar via euvd.enisa.europa.eu. Deze databank aggregeert informatie over bekende kwetsbaarheden, inclusief CVE-nummers, CVSS-scores, betrokken producten en de status van beschikbare patches.
De EUVD is geen vrijblijvend hulpmiddel. Implementing Regulation (EU) 2024/2690 verwijst naar de EUVD als primaire Europese referentiebron voor het opvolgen van kwetsbaarheden. Organisaties die hun patchproces baseren op alleen de Amerikaanse NVD (National Vulnerability Database) lopen het risico Europees geprioriteerde kwetsbaarheden te missen of te laat op te merken.
Voor de rapportageplicht geldt het volgende onderscheid: de EUVD is een informatiedatabank, geen meldloket. Organisaties melden significante incidenten bij de nationale bevoegde autoriteit, in Nederland het NCSC of een sectorale toezichthouder. Kwetsbaarheden in digitale producten worden door fabrikanten gemeld via het CRA Single Reporting Platform, dat onder de Cyber Resilience Act wordt opgezet.
De Cyber Resilience Act en de ketenverantwoordelijkheid van afnemers
De Cyber Resilience Act, Verordening (EU) 2024/2847, legt de primaire verantwoordelijkheid voor beveiligingsupdates bij de fabrikant van een digitaal product. Fabrikanten zijn verplicht kwetsbaarheden actief te monitoren en updates uit te brengen gedurende de verwachte levensduur van het product, en zij moeten actief uitgebuite kwetsbaarheden binnen 24 uur melden via het CRA Single Reporting Platform.
Voormalig Europees Commissaris Thierry Breton formuleerde het bij de aankondiging van het CRA-voorstel als volgt: “The Cyber Resilience Act shifts the burden of secure software maintenance squarely onto manufacturers, but organizations that deploy that software remain accountable for ensuring updates are actually applied.”
Voor afnemers, zoals overheidsinstanties, juridische dienstverleners of zorgorganisaties, heeft de CRA twee directe gevolgen. Ten eerste kunnen zij contractueel afdwingen dat leveranciers aan de CRA-updateplicht voldoen en bij niet-naleving aansprakelijkheid claimen. Ten tweede blijft de eigen verplichting om updates daadwerkelijk te installeren onverminderd bestaan onder NIS-2. De CRA verplaatst de last, maar deelt de verantwoordelijkheid.
| Partij | Verplichting onder CRA | Verplichting onder NIS-2 / (EU) 2024/2690 |
|---|---|---|
| Softwarefabrikant | Tijdig uitbrengen van beveiligingsupdates; melding via CRA Single Reporting Platform | N.v.t. (tenzij fabrikant zelf essential/important entity is) |
| Afnemende organisatie (essential/important entity) | Contractuele naleving borgen; updates niet blokkeren | Tijdig installeren van patches; gedocumenteerd patchbeleid; CVSS-prioritering |
Patchbeheer zonder Big Tech: soevereine en on-premise infrastructuur
Organisaties die bewust kiezen voor soevereine infrastructuur, zoals een zelfgehoste Nextcloud-omgeving of volledig on-premise servers, kunnen niet leunen op de automatische updateservices waarmee hyperscalers hun cloudplatforms onderhouden. Dat is geen tekortkoming, maar een bewuste keuze die een eigen proces vereist.
Een gestructureerd patchproces voor soevereine omgevingen bestaat minimaal uit vier elementen:
- Continue inventarisatie: Een actueel overzicht van alle softwarecomponenten, inclusief versienummers, via een CMDB of vergelijkbare tool. Zonder dit overzicht is gerichte patching onmogelijk.
- Geautomatiseerde kwetsbaarheidsscanning: Tools zoals OpenVAS of Greenbone Security Manager kunnen on-premise draaien en koppelen aan de EUVD en CVE-feeds zonder dat data de organisatie verlaat.
- Prioritering op basis van CVSS en context: Een CVE met CVSS 9.8 op een intern systeem zonder internetverbinding heeft een ander risicoprofiel dan dezelfde score op een publiek toegankelijke dienst. De Implementing Regulation (EU) 2024/2690 vereist expliciete risicocontextualisering.
- Gedocumenteerde patchcyclus met acceptatieregistratie: Elke openstaande kwetsbaarheid die niet direct wordt gepatcht, moet zijn gekoppeld aan een gedocumenteerde risicoafweging met een eindverantwoordelijke en een deadline.
Nextcloud brengt regelmatig beveiligingsupdates uit en publiceert changelogs met CVE-referenties. Beheerorganisaties dienen deze releases te monitoren via het officiele Nextcloud beveiligingskanaal en de EUVD, en updates te testen in een acceptatieomgeving voordat ze op productie worden uitgerold.
Hybride omgevingen: het dubbele risico van gesplitste patching
Veel organisaties draaien hybride: een combinatie van on-premise systemen en cloudcomponenten, soms bij meerdere aanbieders. Dit vergroot de complexiteit van patchbeheer aanzienlijk, omdat verantwoordelijkheidsgrenzen niet altijd scherp zijn.
Statistiek: Uit onderzoek van de Cybersecurity and Infrastructure Security Agency (CISA) blijkt dat bekende kwetsbaarheden gemiddeld binnen 15 dagen na publicatie actief worden uitgebuit (bron: CISA Known Exploited Vulnerabilities Catalog, analyse 2023, cisa.gov). In hybride omgevingen loopt de gemiddelde tijd tot patching in de praktijk vaak op tot 30 tot 60 dagen door onduidelijke verantwoordelijkheden.
Statistiek: Het Verizon Data Breach Investigations Report 2024 stelt dat in 14% van de onderzochte datalekken een bekende, niet-gepatchte kwetsbaarheid de initiële toegangsvector was (bron: Verizon DBIR 2024, verizon.com).
Een concrete mitigatiestrategie voor hybride omgevingen omvat: een gecentraliseerd patchregister dat zowel on-premise als cloudcomponenten dekt, kwartaallijkse reconciliatie van de patchstatus per component, en een SLA-bepaling in cloudcontracten die de leverancier verplicht patchtijdstippen en patchlogs aan te leveren aan de eigen securityfunctie.
Aantoonbare compliance voor toezichthouders: het auditspoor
Een compliance officer die moet aantonen dat vulnerability management adequaat is ingericht, heeft aan intenties niets. Toezichthouders onder NIS-2 en de herziene Nederlandse Cyberbeveiligingswet verwachten bewijs: documenten, logs en beslisregisters die samen een coherent auditspoor vormen.
De volgende elementen vormen het minimale bewijspakket:
- Patchbeleid: Een formeel vastgesteld document, goedgekeurd door de directie of het managementteam, met daarin patchcycli per risicocategorie (kritisch: 24 tot 72 uur; hoog: 7 dagen; medium: 30 dagen).
- Vulnerability scan-rapporten: Periodieke scanresultaten, minimaal maandelijks voor kritieke systemen, met datum, scope en openstaande bevindingen.
- Patch-implementatieregistratie: Logs of ticketsysteemrecords die per patch vastleggen: datum van detectie, datum van uitrol, verantwoordelijke en eventuele uitstelgronden.
- Risicoacceptatiedocumentatie: Voor elke kwetsbaarheid die niet binnen de vastgestelde termijn wordt verholpen, een formele risicoacceptatie met datum, motivering en eindverantwoordelijke.
- Koppeling aan EUVD en CVSS: Prioriteringsbesluiten dienen traceerbaar te zijn naar objectieve bronnen zoals de EUVD of het CVE/CVSS-stelsel, niet uitsluitend naar interne inschattingen.
De ENISA NIS360-rapportages, die ENISA periodiek uitbrengt over de implementatierijpheid van NIS-2 in de lidstaten, laten zien dat toezichthouders steeds vaker vragen om procesbewijzen in plaats van beleidsverklaringen. Een goed ingericht vulnerability managementproces is geen papieren exercitie, maar een aantoonbaar operationeel systeem.
FAQ: vulnerability management en patchbeheer onder NIS-2
Wat verstaat NIS-2 concreet onder vulnerability management?
Artikel 21(2) van de NIS-2-richtlijn en de uitwerkingen in Implementing Regulation (EU) 2024/2690 vereisen dat organisaties een gedocumenteerd proces hebben voor het identificeren, prioriteren en verhelpen van kwetsbaarheden in netwerk- en informatiesystemen, inclusief tijdige installatie van beveiligingsupdates.
Moet mijn organisatie kwetsbaarheden melden bij ENISA of een nationale toezichthouder?
Onder NIS-2 geldt een meldplicht voor significante incidenten bij de nationale bevoegde autoriteit, in Nederland het NCSC of een sectorale toezichthouder. De EUVD is primair een informatiedatabank voor het volgen van bekende kwetsbaarheden. Actieve melding van kwetsbaarheden in producten door fabrikanten verloopt via het CRA Single Reporting Platform.
Hoe verschilt de patchverantwoordelijkheid bij on-premise Nextcloud van Microsoft 365?
Bij Microsoft 365 patcht Microsoft de cloudinfrastructuur zelf, maar de organisatie blijft verantwoordelijk voor het configureren van update-instellingen en het patchen van eindpunten. Bij een zelfgehoste Nextcloud-installatie ligt de volledige verantwoordelijkheid voor het tijdig installeren van beveiligingsupdates bij de eigen beheerorganisatie, wat een gestructureerd intern patchproces vereist.
Wat doet de Cyber Resilience Act voor de ketenverantwoordelijkheid van afnemers?
De CRA verplicht softwarefabrikanten tot het uitbrengen van beveiligingsupdates gedurende de verwachte levensduur van een product. Voor afnemers betekent dit dat zij contractueel kunnen afdwingen dat leveranciers aan de CRA-verplichtingen voldoen, maar de eigen plicht om updates daadwerkelijk te installeren blijft onverminderd gelden onder NIS-2.
Hoe toont een compliance officer aantoonbaar aan dat patchbeheer adequaat is?
Documenteer het patchbeleid inclusief prioriteringsmatrix op basis van CVSS-scores, leg patchcycli vast met timestamps, koppel openstaande kwetsbaarheden aan geaccepteerde risico’s met een eindverantwoordelijke, en voer periodieke vulnerability scans uit waarvan de resultaten worden gerapporteerd aan de directie. Dit geheel vormt het auditspoor dat toezichthouders onder NIS-2 verwachten.
