spørgeskemaet spørger, hvor længe vi gemmer vores systemlogs og logfiler

Ingen fastsat bevaringsperiode i NIS2 eller ISO 27001

Der er intet tal i regelgivningen. Artikel 21, stk. 2, i NIS2-direktivet nævner logning ikke som et særskilt punkt, men logfiler falder i praksis ind under to af de ti foranstaltninger: litra (b), håndtering af sikkerhedshændelser, og litra (d), sikkerhed ved anskaffelse, udvikling og vedligeholdelse af systemer. Begge kræver, at en organisation kan rekonstruere hændelser, og det er kun muligt med logfiler, der opbevares længe nok til at kunne se et angreb igen. Hvor længe det skal være, overlader direktivet til organisationen selv.

Det, klienten egentlig vil vide, er ikke et tal, men om der ligger en bevidst valg bag. Et svar som "90 dage for applikationslogfiler, 12 måneder for adgangslogfiler" er stærkere end "vi opbevarer logfiler" uden periode, fordi det viser, at perioden er tilpasset det, der er nødvendigt for at undersøge en hændelse. Hvis denne politik endnu ikke er fastlagt, er det ofte en del af samme procedure som håndtering af sikkerhedshændelser: den, der bruger logfiler til at rekonstruere en hændelse, skal også dokumentere, hvor længe disse logfiler opbevares for at kunne gøre det.

Begrundelse: artikel 21, stk. 2, og bilag A

Forbindelsen til artikel 21, stk. 2, litra (b) og (d), i Direktiv (EU) 2022/2555, er indirekte: direktivet kræver hændelseshåndtering og sikker systemudvikling, og logbevaringis en forudsætning herfor, ikke et eksplicit krav. ISO/IEC 27001 Bilag A er mere konkret med foranstaltningen om logning og overvågning, men heller ikke her er der en fastsat periode; standarden kræver, at organisationen selv bestemmer og begrunder en periode. Virksomheder, der allerede periodisk tester, om deres foranstaltninger stadig virker har som regel allerede inkluderet bevaringsperioden for logfiler som en fast del af denne test og kan direkte overføre denne periode til svaret.