Kirjataan ja säilytetäänkö järjestelmän tapahtumat?

Lokitalletus kuuluu useisiin artiklan 21 kohdan 2 toimenpiteisiin

NIS2-direktiivin artiklan 21 kohdan 2 sisällä ei ole erillistä "lokitalletus"-kohtaa. Kysymys tapahtumien kirjaamisesta ja säilyttämisestä järjestelmissä koskee erityisesti kohtaa b, poikkeamien hallinnasta, ja kohtaa d, liiketoiminnan jatkuvuudesta ja kriisinhallinnasta. Lokitalletus on todistusaineisto, jonka avulla voit rekonstruoida tapahtuman: kuka teki mitä, milloin, mistä järjestelmästä. Ilman lokitietoja poikkeaman hallinnan menettelyä on käytännössä vaikea osoittaa, vaikka menettely olisikin olemassa paperilla.

Asiakkaan tarkkailussa kysymys vaihtelee kysely-kyselyttäin. Jotkut portaalit kysyvät vain, suoritetaanko lokitalletus, toiset kysyvät säilytysajasta, mitkä järjestelmät lokitetaan, tai kenen käyttöoikeus lokitietoihin on. Jälkimmäinen koskee jälleen käyttöoikeuskäytäntöä: jos lokitiedot ovat muokattavissa samojen henkilöiden toimesta, joiden pitäisi valvoa niitä, pääsynvalvonnan politiikkaan ja liiketoimintavälineiden hallintaan on oleellista mainita. Jos sinulla ei ole keskitettyä lokitallennusta tai dokumentoitua säilytysaikaa, vastaa sitten ei tai "osittain" — erillinen Excel-tiedosto virheilmoituksista ei automaattisesti ole todistusaineisto, eikä keksitty "kyllä" ole sen vähemmän sellainen.

Artiklan 21 kohta 2, erityisesti kohdat b ja d

NIS2-direktiivin artiklan 21 kohdan 2 mukaisesti yhteisön on toteutettava kymmenen kategorian toimenpiteitä "all-hazards"-lähestymistavan perusteella. Lokitalletus ei ole nimenomaisen mainittu omana kategorianaan, mutta käytännössä se kuuluu osaan b (poikkeamien hallinta) ja osaan d (liiketoiminnan jatkuvuus, kuten varmuuskopiointi ja kriisinhallinta), koska tallennettuja tapahtumia tarvitaan poikkeaman tunnistamiseen, tutkimiseen ja jälkikäteen vastuullisuuden osoittamiseen. Mitä tarkkoja vaatimuksia asiakas siihen liittää — säilytysaikaa, kattavuutta, pääsyä lokitietoihin itsessään — ei ole sisällytetty itse direktiiviin, mutta sitä usein täsmennetään kansallisessa soveltamisessa tai asiakkaan portaalissa.