Les événements dans les systèmes sont-ils enregistrés et conservés ?

La journalisation relève de plusieurs mesures de l'article 21, paragraphe 2

Il n'y a pas de point séparé « journalisation » à l'article 21, paragraphe 2 de la directive NIS2. La question de l'enregistrement et de la conservation des événements dans les systèmes concerne principalement le point b, relatif à la gestion des incidents, et le point d, relatif à la continuité de l'activité et à la gestion de crise. La journalisation est la preuve matérielle qui permet de reconstituer un incident : qui a fait quoi, quand, à partir de quel système. Sans journaux, la procédure de gestion des incidents en pratique, difficile à démontrer, même si cette procédure existe sur le papier.

Ce que le client demande exactement varie selon le questionnaire. Certains portails demandent seulement si la journalisation a lieu, d'autres demandent la période de conservation, les systèmes qui sont journalisés, ou qui a accès aux journaux. Ce dernier point touche à nouveau à la politique d'accès : si les journaux peuvent être modifiés par les mêmes personnes qui devraient les contrôler, la politique d'accès et à la gestion des biens de l'entreprise pertinent de le mentionner. Si vous n'avez pas de journalisation centralisée ou pas de période de conservation établie, répondez alors par non ou « partiellement » — un fichier Excel isolé contenant des messages d'erreur ne compte pas automatiquement comme preuve, et une « réponse affirmative » inventée de toutes pièces ne l'est pas moins.

Article 21, paragraphe 2, notamment aux points b et d

L'article 21, paragraphe 2 de la directive NIS2 énumère dix catégories de mesures qu'une entité doit prendre, en fonction d'une approche « tous risques ». La journalisation n'est pas explicitement mentionnée comme catégorie propre, mais elle est en pratique classée sous la rubrique b (gestion des incidents) et la rubrique d (continuité de l'activité, comme la gestion des sauvegardes et la gestion de crise), car les événements enregistrés sont nécessaires pour identifier un incident, l'enquêter et en rendre compte ultérieurement. L'exigence précise qu'un client y associe — période de conservation, couverture, gestion de l'accès aux journaux eux-mêmes — n'est pas détaillée dans la directive elle-même mais est souvent précisée dans la transposition nationale ou dans le portail du client.