Wie beschrieben kannst du über Produkte und Klassifizierungen einstellen ,welche Patches auf den WSUS transportiert werden. Wenn ein Patch genehmigt wird, dann wird er dem Client erst zur Installation angeboten.
Entweder mit einer automatischen Genehmigung oder immer nur manuell.
Ich bin mit der automatischen Genehmigung immer recht vorsichtig, weil ich gerne weiß Wer was in meinem Netz patcht.