NIS 2 vulnerability management under Article 21(2)(e)
Kwetsbaarhedenbeheer heeft onder NIS 2 twee kanten. Hoe u omgaat met zwakke plekken in uw eigen systemen. En hoe u omgaat met zwakke plekken die anderen aan u melden. Artikel 21(2)(e) is waar de plicht staat, CIR (EU) 2024/2690 §6.10 werkt de specifieke punten uit voor de digitale aanbieders die het dekt, en §30(2)(5) BSIG zet de plicht om in Duits recht.
The short version
Vulnerability management is point (e) on the Article 21(2) list. The CIR titles its corresponding section 'Handling and disclosure of vulnerabilities'. That title is the giveaway. NIS 2 cares about two things at once: weaknesses sitting in the systems you run, and weaknesses outsiders find in your products and want to tell you about.
Voor de digitale aanbieders die het dekt, noemt CIR §6.10 vijf acties. Haal kwetsbaarheidsinformatie binnen van CSIRT's, autoriteiten, leveranciers en dienstverleners. Voer waar passend kwetsbaarheidsscans uit en leg de resultaten vast met geplande tussenpozen. Verhelp de kritieke kwetsbaarheden zonder onnodige vertraging. Verbind kwetsbaarhedenbeheer met uw change-, patch-, risico- en incidentprocessen. En zet een procedure voor gecoördineerde bekendmaking van kwetsbaarheden (CVD) op die aansluit op het nationale CVD-beleid.
Duitsland noemt kwetsbaarhedenbeheer en bekendmaking voor elke entiteit in §30(2)(5) BSIG, zonder de vorm voor te schrijven. Het BSI is de nationale coördinator voor gecoördineerde bekendmaking van kwetsbaarheden (§5(1) BSIG) en voert dit uit via CERT-Bund. NIS 2 zelf richt in artikel 12 ook een Europese kwetsbaarhedendatabank in, beheerd door ENISA, waar entiteiten vrijwillig kwetsbaarheden kunnen melden.
Article 21(2)(e) NIS 2 Directive (2022/2555)
Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden.
Punt (e) op de lijst van tien maatregelen. Let op de inkadering: de afhandeling en bekendmaking van kwetsbaarheden vallen onder een bredere plicht rond verwerving, ontwikkeling en onderhoud. De CIR splitst dit in afzonderlijke punten (6.1 verwerving, 6.10 kwetsbaarheden).
CIR (EU) 2024/2690, Annex §6.10
De relevante entiteiten verkrijgen informatie over technische kwetsbaarheden in hun netwerk- en informatiesystemen, evalueren hun blootstelling aan dergelijke kwetsbaarheden en nemen passende maatregelen om de kwetsbaarheden te beheren.
Rechtstreeks bindend EU-recht voor de entiteitstypen die in Art. 1 CIR zijn genoemd (DNS, TLD's, cloud, datacenters, MSP's, vertrouwensdiensten en de overige). §6.10.2 noemt vijf concrete acties. §6.10.3 bepaalt dat u, als u een maatregel overslaat, vastlegt waarom. §6.10.4 bepaalt dat u de kanalen waarmee u kwetsbaarheidsinformatie volgt met geplande tussenpozen toetst.
§30(2)(5) BSIG (Germany)
Security measures for the acquisition, development and maintenance of information technology systems, components and processes, including vulnerability management and disclosure.
Germany copies the EU text. The national CVD framework runs through the CERT-Bund coordinated disclosure programme at the BSI, which is what 'aligned with applicable national CVD policies' in CIR §6.10.2(e) points to in Germany.
Get the information in
Follow vulnerability information from CSIRTs, authorities, vendors and service providers. Run vulnerability scans on a cadence appropriate to your environment. The scan tools (Tenable, Qualys, Nessus, OpenVAS) are the engineering side. The feeds (CERT-Bund newsletter, vendor advisories, NVD) are the awareness side. You need both.
Fix the critical ones, document the rest
Critical vulnerabilities get remediated without delay. Vulnerability handling has to hook into your change management, patch management, risk management and incident management. Where you decide not to mitigate, §6.10.3 says you create a documented mitigation plan or write down why no action is needed. No silent backlog.
Run a coordinated disclosure process
Establish a procedure for receiving vulnerability reports from outsiders and coordinating their disclosure, aligned with the applicable national CVD policy. Minimum mechanics: a published contact channel (security@ inbox or a security.txt file), an acknowledgement SLA, a remediation timeline, and a coordinated public release. CERT-Bund will broker if needed.
Periodic, not reactive
Punt 6.10.2(b) vraagt, waar passend, om kwetsbaarheidsscans waarvan de resultaten met geplande tussenpozen worden vastgelegd, en punt 6.10.4 om toetsing van de monitoringkanalen met geplande tussenpozen. Voor de entiteiten die de CIR dekt, betekent dat een schriftelijk vastgelegde frequentie: documenteer hoe vaak u scant en hoe vaak u uw lijst met bronnen toetst, en houd u eraan. Geen enkele tekst stelt het interval vast.
Bekendmaking hoort bij de plicht
§ 30 Abs. 2 Nr. 5 BSIG en Art. 21(2)(e) NIS 2 noemen de bekendmaking van kwetsbaarheden naast de afhandeling ervan, voor elke entiteit. Voor de digitale aanbieders die de CIR dekt, vraagt punt 6.10.2(e) om een procedure in lijn met het nationale beleid voor gecoördineerde bekendmaking. Een minimale opzet: een security@-mailbox die iemand leest, een kort beleid en een security.txt-bestand dat ernaar verwijst.
BSI / CERT-Bund CVD programme
Het BSI beheert CERT-Bund, het federale CSIRT, en voert een programma voor gecoördineerde bekendmaking van kwetsbaarheden uit. Onderzoekers kunnen melden via CERT-Bund en het BSI coördineert met de getroffen leveranciers. § 5(1) BSIG maakt het BSI de nationale coördinator voor gecoördineerde bekendmaking van kwetsbaarheden onder Art. 12(1) NIS 2. Als u voor het eerst een bekendmakingsproces opzet, is de CVD-richtlijn van het BSI een goed model.
European vulnerability database (Article 12 NIS 2)
Article 12 of NIS 2 sets up a European vulnerability database operated by ENISA. Entities may voluntarily disclose vulnerabilities to it. It is not a mandatory reporting channel under Article 23. It is an EU-wide reference resource that aggregates vulnerability information across member states.
National CSIRTs as CVD coordinators
Elke lidstaat wijst een van zijn CSIRT's aan als coördinator voor gecoördineerde bekendmaking van kwetsbaarheden (Art. 12(1) NIS 2). Nationale wetten kunnen verder gaan dan de richtlijn (Art. 5), dus controleer de nationale tekst; wat ook verschilt is met welk CSIRT u te maken hebt en hoe de coördinatie daar verloopt.
We patch on Patch Tuesday, that is enough.
Niet voor de digitale aanbieders die de CIR dekt: punt 6.10.2(c) bepaalt dat kritieke kwetsbaarheden zonder onnodige vertraging worden aangepakt. Patch Tuesday is het releaseritme van een leverancier. Een zero-day die op donderdag met actieve exploitatie wordt bekendgemaakt, wacht niet tot volgende dinsdag. Een patchritme voor routinematige fixes plus een out-of-band-proces voor kritieke kwesties dekt beide.
We do not have a CVD process because nobody ever reports vulnerabilities to us.
Voor de digitale aanbieders die de CIR dekt, vraagt punt 6.10.2(e) de procedure vooraf, niet pas wanneer meldingen binnenkomen. Voor alle anderen wordt bekendmaking genoemd in § 30 Abs. 2 Nr. 5 BSIG zonder voorgeschreven vorm. Een security@-mailbox en een beleid van één pagina zijn in beide gevallen een kleine, verstandige stap.
Vulnerability scanning is the security team's job.
Dat is zo, tot u §6.10.2(d) leest: de afhandeling van kwetsbaarheden moet consistent zijn met changemanagement, patchmanagement, risicomanagement en incidentmanagement. Dat maakt kwetsbaarhedenbeheer een teamoverstijgend proces dat IT-beheer, ontwikkeling en risico raakt, geen geïsoleerde beveiligingsactiviteit.
De bekendmakingskant is de slecht gedocumenteerde helft. Een realistisch minimum: een security@uwdomein-mailbox die naar twee personen wordt doorgestuurd, een bekendmakingsbeleid van één pagina en een security.txt-bestand op /.well-known/security.txt dat naar de mailbox verwijst. Voor termijnen verwacht de CVD-richtlijn van het BSI dat een leverancier een melding binnen drie werkdagen bevestigt en geeft ze 45 tot 90 dagen om te herstellen, het internationaal gebruikelijke bereik.
- Directive (EU) 2022/2555 (NIS 2), Article 12 and Article 21(2)(e): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Commission Implementing Regulation (EU) 2024/2690 (CIR), Annex §6.10: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSI Act (BSIG), §30(2)(5) as amended by the NIS2 Implementation and Cybersecurity Strengthening Act
- BSI / CERT-Bund coordinated vulnerability disclosure programme: bsi.bund.de
- ENISA European vulnerability database (Article 12 NIS 2)
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Procurement & Development
Write the rules for buying, updates and vulnerabilities
What you check when buying, how updates arrive and who closes gaps.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
