enkäten frågar hur länge vi sparar systemloggar och loggfiler

Ingen fast bevarandeperiod i NIS2 eller ISO 27001

Det finns inget tal i regelverket. Artikel 21 stycke 2 i NIS2-direktivet nämner loggning inte som en separat punkt, men loggfiler faller i praktiken under två av tio åtgärder: punkt (b), hantering av säkerhetshändelser, och punkt (d), säkerhet vid anskaffning, utveckling och underhåll av system. Båda kräver att en organisation kan rekonstruera händelser, och det är bara möjligt med loggar som sparas tillräckligt länge för att kunna se en attack återigen. Hur länge det är låter direktivet organisationen själv besluta.

Det kunden egentligen vill veta är inte ett tal utan om det finns ett medvetet val bakom det. Ett svar som "90 dagar för applikationsloggar, 12 månader för åtkomstloggar" är starkare än "vi sparar loggar" utan period, eftersom det visar att perioden är anpassad till vad som behövs för att undersöka en incident. Om denna policy ännu inte är fastställd är det ofta en del av samma procedur som hantering av säkerhetshändelser: den som använder loggar för att rekonstruera en incident måste också dokumentera hur länge dessa loggar sparas för att kunna göra det.

Motivering: artikel 21 stycke 2 och Annex A

Kopplingen till artikel 21 stycke 2, punkter (b) och (d), i Direktiv (EU) 2022/2555 är indirekt: direktivet kräver incidenthantering och säker systemutveckling, och logglagring är en förutsättning för det, inte ett explicit krav. ISO/IEC 27001 Annex A är mer konkret med åtgärden om loggning och övervakning, men även där anges ingen fast period; standarden kräver att organisationen själv bestämmer och motiverar en period. Företag som redan regelbundet testar om deras åtgärder fortfarande fungerar har bevarandeperioden för loggar vanligtvis redan inkluderad som en fast del av denna testning och kan överföra denna period direkt till svaret.