Patchkrav bør følge sårbarhedens risiko, systemets eksponering og muligheden for at rette uden uacceptable driftskonsekvenser. Samme faste frist for alle opdateringer kan være både for langsom ved kritiske fejl og unødigt belastende ved små ændringer.

Definér ansvar for overvågning, klassifikation, test, udrulning og dokumentation. Beskriv akutte undtagelser, midlertidige beskyttelsesforanstaltninger og godkendelse af udsættelser. Medtag software, operativsystemer, biblioteker og relevante underleverancer. Følg op på faktisk dækningsgrad og forældede komponenter. Et system uden leverandørsupport kræver en særskilt beslutning om udskiftning eller risikobehandling.

Kilder og faglig baggrund: NIST: Cybersecurity Framework 2.0