**1.** De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben betrekking op ten minste de processen en procedures inzake:
beveiligingstesten;
beveiligingspatchbeheer.
**2.** De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat:
waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;
waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast;
beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.
**3.** Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet:
implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen;
voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit en legt zij de resultaten van deze scans vast;
evalueert de essentiële entiteit of belangrijke entiteit haar blootstelling aan relevante kwetsbaarheden en dreigingen waar ze kennis van heeft, voor zover artikel 17 van het besluit daar niet reeds toe verplicht;
verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.
**4.** Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit:
haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse;
waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.
Treedt in werking op het tijdstip waarop de Cyberbeveiligingswet
in werking treedt.
Paragraaf 4 › Paragraaf 4.2
Artikel 12
(Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen)
Onderdeel van Cyberbeveiligingsregeling IenW· Openbare orde en veiligheidsrecht
Deze tekst geldt sinds 15 augustus 2026