CISA:n direktiivi BOD 26-04 mukaan Yhdysvaltain liittovaltion virastojen on asennettava päivitykset riskiperusteisesti (infosecurity-magazine.com)

• Uusi direktiivi korvaa vakavuuteen perustuvan päivittämisen neljällä riskitekijällä
• Korjaus kolmessa päivässä oikeuslääketieteellisellä tarkistuksella kriittisille haavoittuvuuksille
• Virastojen on noudatettava määräyksiä 7. joulukuuta 2026 mennessä

"Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA) antoi 10. kesäkuuta 2026 sitovan operatiivisen direktiivin 26-04, joka velvoittaa liittovaltion virastoja priorisoimaan tietoturvapäivitykset riskitekijöiden perusteella — resurssin altistus, KEV-status, hyväksikäytön automatisoitavuus ja tekninen vaikutus — eikä CVSS-vakavuuspisteiden perusteella. Direktiivi korvaa aiemmat määräykset, asettaa korjausaikataulut kolmesta päivästä seuraavaan suureen järjestelmäpäivitykseen ja lisää kriittisiin haavoittuvuuksiin oikeuslääketieteellisen tarkistuksen tunkeutumisen merkkien varalta. Virastoilla on 180 päivää aikaa noudattaa määräyksiä."