Der Fragebogen fragt, wie lange wir unsere Systemprotokolle und Protokolldateien aufbewahren

Keine feste Aufbewahrungsfrist in NIS2 oder ISO 27001

Es gibt keine Zahl in der Verordnung. Artikel 21 Absatz 2 der NIS2-Richtlinie nennt Protokollierung nicht als separaten Punkt, aber Protokolldateien fallen in der Praxis unter zwei der zehn Maßnahmen: Buchstabe (b), die Behandlung von Sicherheitsvorfällen, und Buchstabe (d), die Sicherheit bei der Beschaffung, Entwicklung und Wartung von Systemen. Beide erfordern, dass eine Organisation Vorfälle rekonstruieren kann, und das ist nur mit Protokollen möglich, die lange genug aufbewahrt werden, um einen Angriff nachzuverfolgen. Wie lange das ist, überlässt die Richtlinie der Organisation selbst.

Was der Kunde also eigentlich wissen möchte, ist nicht eine Zahl, sondern ob eine bewusste Entscheidung dahintersteckt. Eine Antwort wie "90 Tage für Anwendungsprotokolle, 12 Monate für Zugriffsprotokolle" ist stärker als "wir bewahren Protokolle" ohne Zeitraum, da sie zeigt, dass die Frist darauf abgestimmt ist, was zur Untersuchung eines Vorfalls erforderlich ist. Falls diese Richtlinie noch nicht festgelegt ist, ist dies oft Teil desselben Verfahrens wie die Vorgehensweise bei Sicherheitsvorfällen: Wer Protokolle verwendet, um einen Vorfall zu rekonstruieren, muss auch festlegen, wie lange diese Protokolle aufbewahrt bleiben, um dies tun zu können.

Begründung: Artikel 21 Absatz 2 und Anlage A

Die Verbindung zu Artikel 21 Absatz 2, Buchstaben (b) und (d), der Richtlinie (EU) 2022/2555 ist indirekt: Die Richtlinie verlangt Vorfallbehandlung und sichere Systementwicklung, und Protokollaufbewahrung ist dafür eine Voraussetzung, keine ausdrückliche Anforderung. ISO/IEC 27001 Anlage A ist konkreter mit der Maßnahme zur Protokollierung und Überwachung, aber auch dort gibt es keine feste Frist; die Norm verlangt, dass die Organisation selbst einen Zeitraum bestimmt und begründet. Unternehmen, die bereits regelmäßig überprüfen, ob ihre Maßnahmen noch wirksam sind haben die Aufbewahrungsfrist für Protokolle in der Regel bereits als fester Bestandteil dieser Überprüfung aufgenommen und können diesen Zeitraum direkt in die Antwort übernehmen.