Werden Ereignisse in den Systemen protokolliert und aufbewahrt?

Logging fällt unter mehrere Maßnahmen von Artikel 21 Absatz 2

Es gibt keinen separaten Punkt "Logging" in Artikel 21 Absatz 2 der NIS2-Richtlinie. Die Frage nach Aufzeichnung und Speicherung von Ereignissen in Systemen betrifft insbesondere Punkt b über die Behandlung von Vorfällen und Punkt d über Geschäftskontinuität und Krisenmanagement. Logging ist das Beweismaterial, mit dem Sie einen Vorfall rekonstruieren können: wer tat was, wann, von welchem System aus. Ohne Logs ist das Verfahren zur Behandlung von Vorfällen in der Praxis schwer nachweisbar, auch wenn dieses Verfahren auf dem Papier existiert.

Was der Kunde genau fragt, unterscheidet sich je nach Frageliste. Einige Portale fragen nur, ob Logging stattfindet, andere fragen nach der Aufbewahrungsfrist, nach welchen Systemen geloggt werden oder nach wem Zugriff auf die Logs hat. Letzteres betrifft wiederum die Zugriffskontrollrichtlinie: Wenn Logs von denselben Personen geändert werden können, die sie kontrollieren sollten, ist der Zugriffsrichtlinie und Verwaltung von Unternehmensmitteln relevant, dies zu erwähnen. Wenn Sie kein zentrales Logging oder keine festgelegte Aufbewahrungsfrist haben, antworten Sie mit Nein oder "teilweise" — eine separate Excel-Datei mit Fehlermeldungen zählt nicht automatisch als Beweismittel, und eine erfundene "Ja" ist nicht weniger erfunden.

Artikel 21 Absatz 2, insbesondere unter b und d

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt zehn Kategorien von Maßnahmen, die ein Unternehmen auf Grundlage eines "All-Hazards"-Ansatzes treffen muss. Logging wird nicht wörtlich als eigene Kategorie genannt, wird aber in der Praxis unter Punkt b (Behandlung von Vorfällen) und Punkt d (Geschäftskontinuität, wie Backup-Management und Krisenmanagement) zusammengefasst, da aufgezeichnete Ereignisse erforderlich sind, um einen Vorfall zu erkennen, zu untersuchen und nachträglich zu dokumentieren. Welche genaue Anforderung ein Kunde hieran koppelt — Aufbewahrungsfrist, Abdeckung, Zugriffskontrolle auf die Logs selbst — ist in der Richtlinie selbst nicht ausgearbeitet, wird aber oft in der nationalen Umsetzung oder im Portal des Kunden weiter konkretisiert.