el cuestionario pregunta cuánto tiempo conservamos nuestros registros de sistema y archivos de registro

Sin plazo de conservación fijo en NIS2 o ISO 27001

No hay ningún número en la normativa. El artículo 21, apartado 2 de la Directiva NIS2 no menciona el registro como punto separado, pero en la práctica los registros de auditoría se incluyen en dos de las diez medidas: el apartado (b), la gestión de incidentes de seguridad, y el apartado (d), la seguridad en la adquisición, desarrollo y mantenimiento de sistemas. Ambos requieren que una organización pueda reconstruir incidentes, y esto solo es posible con registros que se conserven el tiempo suficiente para identificar un ataque. La directiva deja a criterio de la organización cuánto tiempo es necesario.

Lo que el cliente realmente quiere saber, entonces, no es un número sino si existe una decisión consciente al respecto. Una respuesta como "90 días para registros de aplicaciones, 12 meses para registros de acceso" es más sólida que "conservamos registros" sin período, porque muestra que el plazo se ajusta a lo necesario para investigar un incidente. Si esta política aún no se ha definido, a menudo forma parte del mismo procedimiento que el enfoque en incidentes de seguridad: quienes utilizan registros para reconstruir un incidente deben documentar también cuánto tiempo se conservan esos registros para poder hacerlo.

Fundamentación: artículo 21, apartado 2 y Anexo A

La conexión con el artículo 21, apartado 2, letras (b) y (d), de la Directiva (UE) 2022/2555 es indirecta: la directiva exige gestión de incidentes y desarrollo seguro de sistemas, y la conservación de registros es un requisito previo para ello, no una obligación explícita. El Anexo A de ISO/IEC 27001 es más concreto con la medida sobre registro y supervisión, pero tampoco especifica un plazo fijo; la norma requiere que la organización misma determine y justifique un período. Las empresas que ya verifican periódicamente si sus medidas siguen siendo eficaces suelen haber incluido el plazo de conservación de registros como parte fija de esa verificación, y pueden transferir directamente ese período a la respuesta.