Patch management: hoe snel moet je beveiligingsupdates installeren?

Wat is patch management?

Patch management is het proces waarmee een organisatie software- en beveiligingsupdates beheert gedurende de volledige levenscyclus van haar IT-omgeving.

Een werkbaar proces begint bij inzicht. Je moet weten welke systemen, applicaties en versies worden gebruikt voordat je kunt bepalen welke beveiligingswaarschuwingen relevant zijn. Daarna volgen beoordeling, prioritering, installatie en controle.

Een uitgevoerde update is pas beheerst wanneer je kunt vaststellen dat de kwetsbaarheid daadwerkelijk is verholpen.

• 1. Relevante beveiligingswaarschuwingen ontvangen.
• 2. Vaststellen welke systemen geraakt worden.
• 3. Risico en urgentie beoordelen.
• 4. De update testen of de impact bepalen.
• 5. De patch installeren.
• 6. Controleren of installatie is geslaagd.
• 7. Afwijkingen en uitzonderingen vastleggen.
• 8. Periodiek rapporteren over achterstanden en risico's.

Goed patchmanagement is georganiseerde snelheid: weten wat je gebruikt, ernstige kwetsbaarheden herkennen, gericht handelen en daarna verifiëren of het risico werkelijk is opgelost.

Niet iedere kwetsbaarheid heeft dezelfde urgentie

Softwareleveranciers publiceren voortdurend patches. Alles onmiddellijk installeren is in veel omgevingen praktisch onmogelijk en kan zelf continuïteitsrisico's veroorzaken. Prioritering is daarom belangrijk.

Kijk bij een nieuwe kwetsbaarheid onder meer naar de bereikbaarheid van het systeem, de ernst van het lek, beschikbare exploitcode, waargenomen actief misbruik, de waarde van het getroffen systeem en de mogelijke gevolgen voor de organisatie.

Een ernstige kwetsbaarheid in een internetbereikbare mailserver vraagt een andere reactie dan een kwetsbaarheid in een intern testsysteem zonder gevoelige gegevens.

Ook mitigerende maatregelen tellen mee. Een systeem kan tijdelijk worden afgeschermd, kwetsbare functionaliteit kan worden uitgeschakeld of toegang kan worden beperkt totdat de patch gecontroleerd kan worden geïnstalleerd. Leg het besluit en de resterende risico's vast wanneer een update wordt uitgesteld.

Het Exchange-lek van augustus 2026 laat zien waarom snelheid telt

Microsoft bracht in augustus 2026 beveiligingsupdates uit voor verschillende kwetsbaarheden in Exchange Server. Voor CVE-2026-62911 verscheen later publieke proof-of-conceptcode. Het NCSC verhoogde daarop de inschaling naar High/High.

Daardoor veranderde de situatie voor organisaties die de patch nog niet hadden geïnstalleerd. De kwetsbaarheid was dezelfde, terwijl de praktische kans op misbruik aanzienlijk was toegenomen.

Een goed patchproces reageert op zulke veranderingen. Een maandelijkse patchronde kan bij acute dreiging te traag zijn. Organisaties hebben daarom ook een route nodig voor urgente beveiligingsupdates.

Wie is verantwoordelijk als IT is uitbesteed?

Veel organisaties besteden technisch beheer uit aan een MSP, cloudleverancier of andere IT-dienstverlener. Daarmee ligt de technische uitvoering bij een externe partij. De organisatie blijft afhankelijk van de kwaliteit, snelheid en aantoonbaarheid van dat proces.

Vraag daarom concreet hoe kritieke kwetsbaarheden worden gesignaleerd, welke responstijden per urgentieniveau gelden en hoe de leverancier succesvolle installatie controleert.

Een periodieke rapportage geeft bestuur, management en IT-verantwoordelijken meer inzicht dan de algemene afspraak dat de leverancier patchmanagement verzorgt.

• welke systemen buiten automatische patching vallen
• hoeveel kritieke en hoge kwetsbaarheden momenteel openstaan
• welke patches bewust zijn uitgesteld en waarom
• hoe succesvolle installatie wordt gecontroleerd
• hoe achterstanden, uitzonderingen en restrisico's worden gerapporteerd

Patch management en ISO 27001

ISO 27001 behandelt het beheersen van technische kwetsbaarheden expliciet. Annex A-maatregel 8.8 richt zich op het verkrijgen van informatie over technische kwetsbaarheden, het beoordelen van de blootstelling en het nemen van passende maatregelen. Patchmanagement is daar een belangrijk onderdeel van.

Voor aantoonbare beheersing wil je kunnen laten zien welke kwetsbaarheden zijn beoordeeld, welke termijnen zijn gekozen, welke updates zijn uitgevoerd en hoe uitzonderingen worden gevolgd.

• een actueel overzicht van systemen en software
• vulnerability scans en leverancierswaarschuwingen
• patchrapportages met vastgestelde prioriteiten en termijnen
• registraties van uitzonderingen en tijdelijke maatregelen
• bewijs van uitgevoerde updates
• periodieke controles op achterstallige patches

Patchmanagement onder NIS2 en de Cyberbeveiligingswet

Binnen NIS2 en de Cyberbeveiligingswet hoort het beheersen van technische kwetsbaarheden bij de bredere aanpak van digitale risico's.

Bestuur en directie hoeven afzonderlijke beveiligingsupdates niet zelf te beoordelen. Zij moeten wel kunnen vaststellen dat de organisatie een werkend proces heeft waarmee ernstige kwetsbaarheden tijdig worden herkend en opgelost.

Een praktische bestuursvraag is: hoe weten wij dat een kritieke kwetsbaarheid in een belangrijk systeem binnen een passende termijn wordt gevonden, beoordeeld en opgelost? Zonder concreet antwoord is het lastig om vast te stellen of patchmanagement voldoende is geborgd.

Controleer ook of patches werkelijk werken

Een patchrapportage kan aangeven dat een update is uitgerold. Daarmee staat nog niet vast dat ieder systeem succesvol is bijgewerkt. Installaties kunnen mislukken, apparaten kunnen offline zijn en oude systemen kunnen buiten centraal beheer vallen.

Verificatie hoort daarom bij het proces. Vulnerability scanning kan bijvoorbeeld aantonen of bekende kwetsbaarheden na een patchronde nog aanwezig zijn. Dat geeft meer zekerheid dan een overzicht van verstuurde updates.

Een praktische controle voor je eigen organisatie

Je krijgt snel inzicht in de volwassenheid van patchmanagement door vijf vragen te beantwoorden. Een onduidelijk antwoord wijst meestal direct naar een concreet verbeterpunt.

• 1. Weten we welke systemen en softwareversies we gebruiken?
• 2. Ontvangen en beoordelen we waarschuwingen over kritieke kwetsbaarheden actief?
• 3. Hebben we een spoedprocedure voor kwetsbaarheden die direct misbruikt kunnen worden?
• 4. Kunnen we aantonen dat patches succesvol zijn geïnstalleerd?
• 5. Zijn achterstanden en uitzonderingen zichtbaar voor degene die verantwoordelijk is voor het risico?

Goed patchmanagement is georganiseerde snelheid

De technische handeling van het installeren van een update is vaak het eenvoudige gedeelte. De kwaliteit zit in het proces eromheen: weten wat je hebt, relevante waarschuwingen herkennen, urgentie bepalen, snel kunnen handelen en vervolgens controleren of het risico werkelijk is opgelost.

Juist wanneer exploitcode plotseling beschikbaar komt, maakt die voorbereiding het verschil.

Verder lezen

De praktijk laat zien waarom patching, logging, incidentrespons en onafhankelijk onderzoek in samenhang moeten worden beoordeeld.

Wil je weten of kwetsbaarheden, patching en technisch beheer aantoonbaar op orde zijn? Een onafhankelijke Cyber Security Audit brengt de werking, uitzonderingen en belangrijkste verbeterpunten in beeld.