Sú udalosti v systémoch zaznamenávané a uchovávané?

Logging podlieha viacerým opatreniam článku 21 ods. 2

V článku 21 ods. 2 smernice NIS2 neexistuje samostatný bod "logging". Otázka zaznamenávania a uchovávaia udalostí v systémoch sa týka najmä bodu b) o spracovaní incidentov a bodu d) o kontinuite podnikania a riadení kríz. Logging je dôkazný materiál, pomocou ktorého môžete incident rekonštruovať: kto čo robil, kedy, z ktorého systému. Bez záznamov je postup spracovánia incidentov v praxi ťažké dokázať, aj keď tento postup existuje na papieri.

To, čo presne zákazník pýta, sa líši podľa zoznamu otázok. Niektoré portály sa pýtajú len na to, či sa logging vykonáva, iné sa pýtajú na dobu uchovávaia, na to, ktoré systémy sa zaznamenávajú, alebo na to, kto má prístup k záznamom. Posledný prípad sa opäť týka politiky prístupu: ak je možné záznamy upravovať tými istými ľuďmi, ktorí by ich mali kontrolovať, je politikou prístupu a riadením podnikateľských prostriedkov relevantné na uvedenie. Ak nemáte centrálne zapisovanie alebo nemáte stanovedenú dobu uchovávania, odpovezte potom áno alebo "čiastočne" — voľný súbor Excel s chybovými hláseniami sa automaticky nepočíta ako dôkaz, a vymyslený "áno" nie je o nič menej.

Článok 21 odsek 2, najmä pod písmenami b a d

Článok 21 odsek 2 smernice NIS2 stanovuje desať kategórií opatrení, ktoré musí subjekt prijať, na základe prístupu "všetky rizika". Zapisovanie nie je doslova uvedené ako vlastná kategória, ale v praxi sa zaraďuje pod časť b (spracovanie incidentov) a časť d (kontinuita podnikania, napríklad správa záloh a krizové riadenie), pretože zaznamenaných udalostí sú potrebné na rozpoznanie incidentu, jeho vyšetrenie a neskoršiu zodpovednosť. Presné požiadavky, ktoré s tým klient spája — doba uchovávania, pokrytie, kontrola prístupu k samotným záznamom — nie sú rozpracované v samotnej smernici, ale často sa ďalej spresňujú v národnom transponovaní alebo na portáli zákazníka.