Patchbeleid voor netwerkapparatuur: wat de Cbw vraagt van telecomaanbieders

Wat staat er in de regels?

De vijfde zorgplichtmaatregel gaat over beveiliging bij verwerven, ontwikkelen en onderhouden van systemen, "met inbegrip van de respons op en bekendmaking van kwetsbaarheden" (artikel 21, derde lid, onder e, Cbw). Het Cyberbeveiligingsbesluit vraagt processen voor onderhoud en beheer, met ten minste configuratiebeheer en wijzigingsbeheer (artikel 11, derde lid, Cbb).

Voor telecomaanbieders is artikel 5 van de Regeling cyberbeveiliging EZK concreet. Beveiligingspatches:

• komen waar passend uit betrouwbare bronnen en worden op integriteit gecontroleerd;
• worden waar passend getest voordat ze in productie gaan;
• worden toegepast binnen een redelijke termijn nadat ze beschikbaar zijn. Wegen de nadelen zwaarder dan de voordelen, dan motiveert en documenteert u waarom u later of niet patcht.

Daarnaast vraagt dezelfde regeling dat u:

• waar passend periodiek kwetsbaarheidsscans uitvoert en de resultaten vastlegt;
• structureel uw blootstelling aan bekende kwetsbaarheden en dreigingen evalueert;
• kwetsbaarheden die een risico vormen onverwijld verhelpt, of motiveert en vastlegt waarom niet of later.

Ook moet u beoordelen of gerichte waarschuwingen en beveiligingsadviezen, bijvoorbeeld van het NCSC of uw leverancier, aanleiding geven tot aanpassingen. De uitkomst legt u schriftelijk vast (artikel 17 Cbb).

Wat is een "redelijke termijn"?

De regels noemen geen aantal dagen. U bepaalt het zelf op basis van uw risicoanalyse. Een werkbare aanpak is om termijnen te koppelen aan de ernst en de bereikbaarheid van het systeem:

Voorbeeld van eigen patchtermijnen (keuze van de organisatie, geen wettelijke termijn)

Situatie	Voorbeeldtermijn
Kwetsbaarheid wordt actief misbruikt en het systeem is vanaf internet bereikbaar	Zo snel mogelijk, binnen dagen; anders direct tijdelijke maatregel
Kritieke kwetsbaarheid, systeem alleen intern bereikbaar	Binnen enkele weken, in een gepland onderhoudsvenster
Overige beveiligingsupdates	Mee in het reguliere onderhoud

Leg uw eigen termijnen vast in uw beleid en houd u eraan. Wijk u af, schrijf dan op waarom.

Patchen zonder storing

Bij netwerkapparatuur is een update vaak spannend: een herstart betekent uitval, en een nieuwe versie kan fouten bevatten. Zo beperkt u het risico:

• Test eerst op één apparaat, in een lab of op een minder kritieke locatie.
• Plan onderhoud en meld het vooraf aan klanten. Gepland onderhoud is in beginsel geen significant incident als de onderbreking een voorzien gevolg is (artikel 7, derde lid, Regeling cyberbeveiliging EZK). Loopt het uit, dan geldt dat niet vanzelf.
• Zorg voor een weg terug: een back-up van de configuratie en de vorige versie bij de hand.
• Gebruik redundantie: patch eerst het ene apparaat van een paar, controleer, dan het tweede.
• Download alleen bij de fabrikant en controleer de checksum of handtekening.

Als patchen niet kan

Soms is er geen patch, of draait een apparaat software die niet meer wordt ondersteund. Dan neemt u een andere maatregel en legt u die vast. Bijvoorbeeld:

• de beheerinterface alleen bereikbaar maken via een beheernetwerk;
• de kwetsbare functie uitzetten;
• extra monitoring op het apparaat;
• vervanging plannen en opnemen in de begroting.

Beheertoegang beperken is vaak de beste tijdelijke maatregel. Lees daarover MFA en beheertoegang op routers en switches.

Weten wat u heeft

Patchen begint met een lijst: welk apparaat, welk model, welke softwareversie, waar en wie is eigenaar? Dat is ook de assetinventaris die artikel 16 Cbb vraagt. Abonneer u op de beveiligingsadviezen van uw fabrikanten en volg de adviezen van het NCSC. Meer over alle tien maatregelen in de NIS2-checklist.

Veelgestelde vragen

Binnen hoeveel dagen moet ik patchen?

De regels noemen geen aantal dagen, maar "een redelijke termijn". Bepaal zelf termijnen op basis van uw risicoanalyse, leg ze vast en motiveer afwijkingen.

Moet ik kwetsbaarheidsscans doen?

Artikel 5 van de Regeling cyberbeveiliging EZK vraagt dat waar passend periodiek, met vastlegging van de resultaten. Voor systemen die vanaf internet bereikbaar zijn, ligt dat voor de hand.

Wat als de fabrikant geen updates meer levert?

Neem een andere maatregel, zoals de beheerinterface afschermen of de functie uitzetten, en plan vervanging. Leg uw afweging vast.