le questionnaire demande combien de temps nous conservons nos journaux système et nos fichiers journaux

Aucune période de rétention fixe dans NIS2 ou ISO 27001

Aucun chiffre n'est mentionné dans la réglementation. L'article 21, paragraphe 2, de la directive NIS2 ne mentionne pas la journalisation comme point distinct, mais les fichiers journaux relèvent en pratique de deux des dix mesures : la disposition (b), le traitement des incidents de sécurité, et la disposition (d), la sécurité lors de l'acquisition, du développement et de la maintenance des systèmes. Les deux exigent qu'une organisation puisse reconstituer les incidents, et cela n'est possible que si des logs sont conservés assez longtemps pour permettre de retracer une attaque. La directive laisse à l'organisation le soin de décider de cette durée.

Ce que le client veut donc vraiment savoir, ce n'est pas un chiffre mais s'il y a un choix délibéré derrière. Une réponse comme « 90 jours pour les journaux d'application, 12 mois pour les journaux d'accès » est plus robuste que « nous conservons les logs » sans période, car elle montre que la durée est adaptée à ce qui est nécessaire pour enquêter sur un incident. Si cette politique n'a pas encore été formalisée, elle fait souvent partie de la même procédure que l'approche en cas d'incident de sécurité : ceux qui utilisent les logs pour reconstituer un incident doivent également documenter combien de temps ces logs sont conservés pour permettre cette reconstitution.

Justification : article 21, paragraphe 2, et Annexe A

Le lien avec l'article 21, paragraphe 2, dispositions (b) et (d), de la Directive (UE) 2022/2555 est indirect : la directive exige le traitement des incidents et le développement sécurisé des systèmes, et la conservation des logs en est une condition préalable, non une exigence explicite. L'annexe A de l'ISO/IEC 27001 est plus concrète avec la mesure sur la journalisation et la surveillance, mais aucune période fixe n'y est mentionnée non plus ; la norme demande que l'organisation elle-même détermine et justifie une période. Les entreprises qui évaluent régulièrement si leurs mesures fonctionnent toujours ont généralement déjà intégré la durée de conservation des logs comme élément fixe de cette évaluation et peuvent reprendre directement cette période dans la réponse.