CISA-richtlijn BOD 26-04 verplicht risicogebaseerd patchen voor Amerikaanse federale agentschappen (infosecurity-magazine.com)

• Nieuwe richtlijn vervangt op ernst gebaseerd patchen met vier risicofactoren
• Herstel binnen drie dagen met forensische controle voor kritieke kwetsbaarheden
• Agentschappen moeten voldoen vóór 7 december 2026

"De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft op 10 juni 2026 de bindende operationele richtlijn 26-04 uitgevaardigd, die federale agentschappen verplicht om beveiligingsupdates te prioriteren op basis van risicofactoren — blootstelling van activa, KEV-status, automatiseringsgraad van exploits en technische impact — in plaats van CVSS-ernstscores. De richtlijn vervangt eerdere mandaten, stelt hersteltermijnen in van drie dagen tot de volgende grote systeemupgrade en voegt een forensische controle op tekenen van inbraak toe voor kritieke fouten. Agentschappen hebben 180 dagen om te voldoen."