Ein wirksamer Patchmanagement-Prozess unter NIS2 umfasst die systematische Identifikation, Bewertung, Priorisierung und zeitnahe Einspielung von Sicherheitsupdates für alle relevanten IT-Systeme. NIS2 schreibt kein starres Verfahren vor, aber die Richtlinie verlangt nachweislich geregelte Prozesse zur Behandlung von Schwachstellen als Teil des technischen Risikomanagements. Die folgenden Abschnitte beleuchten, was konkret gefordert wird, wie ein praxistauglicher Prozess aussieht und wo Unternehmen häufig Lücken haben.
Welche NIS2-Anforderungen betreffen das Patchmanagement konkret?
NIS2 behandelt Patchmanagement nicht in einem eigenen Artikel, aber das Schwachstellenmanagement ist ein klar definierter Bestandteil der technischen Sicherheitsmaßnahmen nach Artikel 21 der Richtlinie. Betroffene Einrichtungen müssen Maßnahmen ergreifen, die Schwachstellen in ihren IT-Systemen identifizieren und beheben, und das dokumentiert und nachvollziehbar.
Konkret leiten sich aus NIS2 folgende Anforderungen für das Patchmanagement ab: Unternehmen müssen einen geregelten Prozess vorhalten, der Schwachstellen in Systemen, Software und Netzwerkkomponenten erfasst. Dieser Prozess muss risikobasiert sein, also Patches nach ihrer sicherheitsrelevanten Bedeutung behandeln, nicht nach Verfügbarkeit oder Bequemlichkeit. Die Maßnahmen müssen verhältnismäßig sein, was bedeutet, dass der Aufwand am tatsächlichen Risiko gemessen wird. Für Einrichtungen, die als wesentlich oder wichtig eingestuft werden, gilt zusätzlich eine Nachweispflicht gegenüber Aufsichtsbehörden.
Das Schwachstellenmanagement unter NIS2 schließt auch die Lieferkette ein. Wenn eingesetzte Software oder Hardware von Drittanbietern Sicherheitslücken aufweist, sind Unternehmen gehalten, auch dort zeitnah zu reagieren und die Risiken zu bewerten. Wer mehr über den NIS2-Rahmen und seine Anforderungen erfahren möchte, findet dort einen strukturierten Einstieg.
Was sind die Kernbestandteile eines NIS2-konformen Patchmanagement-Prozesses?
Ein NIS2-konformer Patchmanagement-Prozess besteht aus vier Kernphasen: Inventarisierung und Schwachstellenerkennung, Bewertung und Priorisierung, kontrollierte Einspielung sowie Dokumentation und Überprüfung. Ohne eine vollständige Asset-Übersicht lässt sich kein Patch verlässlich zuordnen, deshalb ist die Inventarisierung die Voraussetzung für alles andere.
Im ersten Schritt steht die kontinuierliche Überwachung von Schwachstellenquellen: Herstellermeldungen, öffentliche Datenbanken wie die CVE-Liste und automatisierte Scan-Tools liefern die Grundlage. Darauf aufbauend folgt die Bewertung, bei der jede Schwachstelle nach ihrem Risiko für die eigene Umgebung eingeschätzt wird, nicht nur nach dem allgemeinen CVSS-Score.
Die eigentliche Einspielung muss in einem kontrollierten Verfahren erfolgen: Testumgebung, Freigabeprozess, Rollout-Plan und Verifizierung, ob der Patch tatsächlich wirksam war. Abgeschlossen wird jeder Zyklus durch eine Dokumentation, die belegt, wann welcher Patch auf welchen Systemen eingespielt wurde und wer die Freigabe erteilt hat.
Wie werden Patches nach Dringlichkeit priorisiert?
Patches werden nach Dringlichkeit priorisiert, indem der CVSS-Score einer Schwachstelle mit dem tatsächlichen Kontext im eigenen Unternehmen kombiniert wird. Ein kritischer Score allein reicht nicht, entscheidend ist, ob das betroffene System exponiert, geschäftskritisch oder Teil einer sensiblen Infrastruktur ist.
In der Praxis hat sich eine dreistufige Klassifikation bewährt:
- Kritisch: Aktiv ausgenutzte Schwachstellen oder solche mit einem CVSS-Score von 9.0+, die produktive Systeme oder externe Schnittstellen betreffen. Einspielung innerhalb von 24 bis 72 Stunden.
- Hoch: Schwachstellen mit hohem Schadenspotenzial, aber ohne bekannte aktive Ausnutzung. Einspielung innerhalb von sieben bis vierzehn Tagen.
- Mittel/Niedrig: Schwachstellen ohne unmittelbares Risiko für die Betriebsumgebung. Einspielung im regulären Patch-Zyklus, in der Regel monatlich.
Zusätzlich sollten Systeme nach ihrer Kritikalität für den Geschäftsbetrieb gewichtet werden. Ein ungepatchter Server, der direkt aus dem Internet erreichbar ist, hat eine höhere Priorität als ein isoliertes internes Testsystem mit derselben Schwachstelle. Threat-Intelligence-Feeds können dabei helfen, zu erkennen, ob eine Schwachstelle gerade aktiv in Angriffskampagnen genutzt wird.
Welche Dokumentations- und Nachweispflichten gelten beim Patchmanagement unter NIS2?
Unter NIS2 müssen Unternehmen nachweisen können, dass ihr Patchmanagement-Prozess existiert, angewendet wird und wirksam ist. Das bedeutet: Jeder Patch-Vorgang muss dokumentiert sein, mit Zeitstempel, betroffenem System, verantwortlicher Person und dem Ergebnis der Einspielung.
Die Dokumentationspflicht umfasst mehrere Ebenen. Auf Prozessebene braucht es eine schriftliche Verfahrensanweisung, die regelt, wie Schwachstellen erkannt, bewertet und behandelt werden. Auf operativer Ebene muss jeder einzelne Patch-Vorgang nachvollziehbar sein, idealerweise über ein Ticketsystem oder ein dediziertes Patch-Management-Tool. Auf Managementebene sollten regelmäßige Berichte zeigen, wie viele Schwachstellen offen sind, wie lange sie offen waren und warum gegebenenfalls Ausnahmen gemacht wurden.
Aufsichtsbehörden können im Rahmen von Kontrollen verlangen, diese Nachweise vorzulegen. Unternehmen, die keine strukturierte Dokumentation vorhalten, riskieren nicht nur Bußgelder, sondern können im Fall eines Sicherheitsvorfalls auch haftungsrechtlich schlechter gestellt sein.
Was passiert, wenn ein Patch nicht sofort eingespielt werden kann?
Wenn ein Patch nicht sofort eingespielt werden kann, muss das Unternehmen kompensierende Maßnahmen ergreifen und den Ausnahmefall dokumentieren. NIS2 akzeptiert, dass nicht jedes Update sofort ausgerollt werden kann, verlangt aber, dass das Risiko in der Zwischenzeit aktiv kontrolliert wird.
Typische Gründe für eine verzögerte Einspielung sind fehlende Kompatibilität mit bestehenden Systemen, notwendige Testläufe in produktionsnahen Umgebungen oder betriebliche Abhängigkeiten, die ein Wartungsfenster erfordern. In diesen Fällen sind folgende Schritte notwendig:
- Schriftliche Begründung, warum der Patch nicht sofort eingespielt werden kann.
- Definition eines verbindlichen Nachholtermins.
- Beschreibung der kompensierenden Maßnahmen, zum Beispiel Netzwerksegmentierung, zusätzliche Monitoring-Regeln oder temporäre Zugriffsbeschränkungen.
- Regelmäßige Überprüfung, ob die Ausnahme noch gilt oder der Patch inzwischen eingespielt werden kann.
Ungeplante Ausnahmen, die sich über Monate hinziehen, sind ein häufiger Kritikpunkt bei Audits. Ein strukturierter Ausnahme-Prozess mit klaren Verantwortlichkeiten verhindert, dass aus einem temporären Aufschub ein dauerhaftes Sicherheitsrisiko wird.
Wie lässt sich der Patchmanagement-Prozess effizient automatisieren?
Der Patchmanagement-Prozess lässt sich durch den Einsatz von Endpoint-Management-Plattformen, automatisierten Schwachstellenscannern und zentralen Deployment-Tools erheblich effizienter gestalten. Automatisierung reduziert manuelle Fehler, verkürzt die Zeit zwischen Schwachstellenerkennung und Behebung und schafft die Datenbasis für eine lückenlose Dokumentation.
Für Windows-Umgebungen bieten Tools wie Microsoft Intune oder Windows Server Update Services eine solide Grundlage für automatisierte Rollouts mit Freigabeworkflows. In gemischten Umgebungen kommen plattformübergreifende Lösungen zum Einsatz, die Linux, macOS und Drittanbieter-Software einschließen. Schwachstellenscanner liefern kontinuierlich aktuelle Informationen darüber, welche Systeme ungepatcht sind, und können direkt mit dem Patch-Deployment verknüpft werden.
Automatisierung ersetzt jedoch nicht die menschliche Entscheidung bei kritischen oder komplexen Patches. Ein sinnvolles Setup trennt zwischen automatisch genehmigten Routineupdates und solchen, die eine manuelle Freigabe erfordern, weil sie tiefgreifende Systemänderungen mitbringen. Der IT-Betrieb als Managed Service kann diese Aufgabe übernehmen, wenn intern die Kapazitäten fehlen.
Wie UBESAFE den Patchmanagement-Prozess unter NIS2 umsetzbar macht
UBESAFE begleitet Unternehmen bei der vollständigen Umsetzung eines NIS2-konformen Patchmanagement-Prozesses, von der initialen Bestandsaufnahme bis zum laufenden Betrieb. Das beginnt mit einem strukturierten Audit, das den aktuellen Reifegrad des Schwachstellenmanagements bewertet und konkrete Lücken benennt.
Im Anschluss übernimmt UBESAFE auf Wunsch den gesamten Prozess als Managed Service:
- Kontinuierliche Schwachstellenscans und Bewertung nach Risiko und Systemkritikalität
- Automatisiertes Patch-Deployment mit definierten Freigabeworkflows
- Dokumentation aller Patch-Vorgänge, Ausnahmen und kompensierenden Maßnahmen
- Regelmäßige Berichte, die NIS2-Nachweispflichten direkt bedienen
- 24/7-Monitoring und SIEM-Integration, um ungepatchte Schwachstellen aktiv zu überwachen
Wer wissen möchte, wo das eigene Unternehmen beim Patchmanagement und der NIS2-Compliance steht, kann mit einem kostenlosen Erstaudit starten und bekommt eine klare Einschätzung ohne Umwege.