A imposição de vulnerabilidades não está (estritamente) no critério do DM ...
Vulnerabilidade é uma mecânica muito strong, e eu estaria hesitante em impor vulnerabilidade, a menos que esteja escrito em algum lugar no bloco de estatísticas da criatura. Ele dobra o dano recebido e, do cenário que você descreve, Lightning Bolt with Vulnerability parece causar 56 de dano em média pelo uso de uma magia de 1º nível (Criar água) e uma de 3º nível, todas em duas Ações. Isso é muito strong, tirando um terço do HP de uma criatura CR5 média em um turno (para não mencionar que você pode fazer isso novamente no próximo turno, porque a criatura ainda está molhada).
Esse mecânico está maduro para o abuso (especialmente quando você o vira e o usa contra os jogadores) e eu não o recomendaria.
... mas Dis / Advantage é!
Em vez de Vulnerabilidade, dê à criatura Desvantagem no Desafio de Destreza contra Lightning Bolt. Está totalmente nas regras e é equilibrado:
(DMG 239)
Advantage and Disadvantage
... Characters often gain advantage or disadvantage through the use of special abilities, actions, spells, or other features of their classes or background. In other cases, you decide whether a circumstance influences a roll in one direction or another, and you grant advantage or impose disadvantage as a result.
Dessa forma, o dano ainda está dentro dos níveis sãos, mas a probabilidade de a criatura economizar por metade do dano é reduzida.