Worden gebeurtenissen in de systemen vastgelegd en bewaard?

Logging valt onder meerdere maatregelen van artikel 21 lid 2

Er is geen apart puntje "logging" in artikel 21 lid 2 van de NIS2-richtlijn. De vraag naar vastleggen en bewaren van gebeurtenissen in systemen raakt vooral punt b, over incidentenbehandeling, en punt d, over bedrijfscontinuïteit en crisisbeheer. Logging is het bewijsmateriaal waarmee je een incident kunt reconstrueren: wie deed wat, wanneer, vanaf welk systeem. Zonder logs is de procedure voor incidentbehandeling in de praktijk moeilijk aan te tonen, ook als die procedure op papier bestaat.

Wat de klant precies vraagt, verschilt per vragenlijst. Sommige portalen vragen alleen of logging plaatsvindt, andere vragen naar de bewaartermijn, naar welke systemen gelogd worden, of naar wie toegang heeft tot de logs. Dat laatste raakt weer het toegangsbeleid: als logs aanpasbaar zijn door dezelfde mensen die ze zouden moeten controleren, is het toegangsbeleid en beheer van bedrijfsmiddelen relevant om erbij te vermelden. Heb je geen centrale logging of geen vastgelegde bewaartermijn, antwoord dan met nee of "deels" — een los Excel-bestand met foutmeldingen telt niet automatisch als bewijsstuk, en een verzonnen "ja" is er niet minder een.

Artikel 21 lid 2, met name onder b en d

Artikel 21 lid 2 van de NIS2-richtlijn noemt tien categorieën maatregelen die een entiteit moet nemen, gebaseerd op een "all-hazards"-aanpak. Logging staat niet letterlijk genoemd als eigen categorie, maar wordt in de praktijk ondergebracht bij onderdeel b (incidentenbehandeling) en onderdeel d (bedrijfscontinuïteit, zoals back-upbeheer en crisisbeheer), omdat vastgelegde gebeurtenissen nodig zijn om een incident te herkennen, te onderzoeken en achteraf te verantwoorden. Welke precieze eis een klant hieraan koppelt — bewaartermijn, dekking, toegangsbeheer tot de logs zelf — is niet in de richtlijn zelf uitgewerkt maar wordt vaak in nationale omzetting of in het portaal van de klant verder ingevuld.