ISO 27001 A.8.8 / NIS2 Art. 21
Technische Schwachstellen erfassen, bewerten und systematisch schließen
Schwachstellen erfassen, nach CVSS bewerten, Patches mit Fristen steuern und Nachweise führen.
Unverbindlich testen – keine Verpflichtung, keine automatische Vertragsbindung.
Worum es geht
Was VulnM – Schwachstellen-/Patch-Management löst
Ohne strukturiertes Schwachstellen- und Patch-Management gehen kritische Sicherheitslücken im E-Mail-Verkehr und in Tabellen unter. Fehlt die nachvollziehbare Bewertung nach Schweregrad und die Kontrolle über Fristen, bleiben Schwachstellen zu lange offen – ein Risiko für den Betrieb und für die Erfüllung normativer Anforderungen.
Das Modul VulnM bündelt die Handhabung technischer Schwachstellen an einem Ort: erfassen, nach CVSS-Schweregrad bewerten, Maßnahmen und Patches mit Fristen versehen, per Wiedervorlage nachhalten und Nachweise dokumentieren. So unterstützen Sie die Maßnahme A.8.8 der ISO/IEC 27001:2022 und die Risikomaßnahmen nach NIS2 Art. 21.
Funktionen
Zentrale Funktionen
Schwachstellen zentral erfassen
Alle technischen Schwachstellen werden an einer Stelle dokumentiert – statt verstreut in Mails und Listen.
Bewertung nach CVSS
Der Schweregrad wird nach CVSS eingeordnet, sodass Priorisierung und Reihenfolge der Behebung nachvollziehbar sind.
Patches mit Fristen steuern
Maßnahmen und Patches erhalten Verantwortliche und Fristen; die Wiedervorlage sorgt dafür, dass nichts liegen bleibt.
Nachweise für Audits
Behandlung und Schließung von Schwachstellen werden lückenlos dokumentiert – als Nachweis für interne und externe Prüfungen.
Normbezug ISO 27001 und NIS2
Das Vorgehen orientiert sich an A.8.8 der ISO/IEC 27001:2022 und unterstützt die Risikomaßnahmen nach NIS2 Art. 21.
In der Praxis
Typischer Ablauf
- 1Technische Schwachstellen erfassen und beschreiben
- 2Schweregrad nach CVSS bewerten und priorisieren
- 3Patches und Maßnahmen mit Verantwortlichen und Fristen festlegen
- 4Umsetzung per Wiedervorlage nachhalten
- 5Behebung und Nachweise revisionssicher dokumentieren
Für wen
Rechtlicher Bezug
Häufige Fragen
- Wie werden Schwachstellen priorisiert?
- Jede Schwachstelle wird nach CVSS bewertet. Der so ermittelte Schweregrad bildet die Grundlage für die Priorisierung und für die Festlegung angemessener Fristen zur Behebung.
- Welche Normbezüge deckt das Modul ab?
- Das Modul orientiert sich an der Maßnahme A.8.8 der ISO/IEC 27001:2022 zur Handhabung technischer Schwachstellen und unterstützt die Risikomaßnahmen nach NIS2 Art. 21.
- Wie wird die Behebung nachgewiesen?
- Maßnahmen, Fristen, Wiedervorlagen und der Abschluss werden dokumentiert. Daraus entstehen nachvollziehbare Nachweise für interne Reviews und externe Audits.
Schwachstellen systematisch unter Kontrolle bringen
Testen Sie das Schwachstellen- und Patch-Management unverbindlich.