Patch-Management
Systeme und Software mit Sicherheitspatches auf aktuellem Stand halten.
Patch-Management wird durch das NIST CSF 2.0 Outcome PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 und NIS2. Redaktionell Redaktionell zugeordnet in SOC 2, Essential Eight, DORA und Cyber Essentials. In HIPAA nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für GDPR und CPS 234.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Themendefinition | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | Crosswalk | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | Crosswalk | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | Redaktionell | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | Crosswalk | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | Crosswalk | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | Crosswalk | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.PS-02) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| GDPR | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine GDPR-Anforderung diesem Thema zugeordnet. |
| NIS2 | 6.6 | Security patch management | Crosswalk | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | Redaktionell | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | Redaktionell | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine CPS 234-Anforderung diesem Thema zugeordnet. |
| Cyber Essentials | CE 3 | Security Update Management | Redaktionell | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Patch-Management
Patch-Management ist der systematische Prozess zur Identifizierung, Prüfung und Bereitstellung von Sicherheitsupdates für Betriebssysteme, Anwendungen, Firmware und Drittanbieter-Software, um bekannte Schwachstellen zu beheben. Die Fristen unterscheiden sich je nach Framework: PCI DSS verlangt, kritische und hochgradige Sicherheitspatches innerhalb eines Monats nach Veröffentlichung einzuspielen (6.3.3), das Essential Eight legt feste Fristen je nach Reifegrad fest, und die meisten anderen fordern, risikobasierte Fristen zu definieren und Patches vor dem Produktivbetrieb zu testen. Automatisierte Patch-Management-Werkzeuge helfen zusammen mit präzisen Asset-Inventaren, eine lückenlose Abdeckung sicherzustellen und das Zeitfenster zu verkürzen, in dem bekannte Exploits ausgenutzt werden können.