de vragenlijst vraagt hoelang wij onze systeemlogs en logbestanden bewaren

Geen vaste bewaartermijn in NIS2 of ISO 27001

Er staat geen getal in de regelgeving. Artikel 21 lid 2 van de NIS2-richtlijn noemt logging niet als apart punt, maar logbestanden vallen in de praktijk onder twee van de tien maatregelen: onderdeel (b), de behandeling van beveiligingsincidenten, en onderdeel (d), de beveiliging bij de aanschaf, ontwikkeling en het onderhoud van systemen. Beide vereisen dat een organisatie incidenten kan reconstrueren, en dat kan alleen met logs die lang genoeg bewaard blijven om een aanval terug te zien. Hoe lang dat is, laat de richtlijn aan de organisatie zelf.

Wat de klant dus eigenlijk wil weten, is niet een getal maar of er een bewuste keuze achter zit. Een antwoord als "90 dagen voor applicatielogs, 12 maanden voor toegangslogs" is sterker dan "wij bewaren logs" zonder periode, omdat het laat zien dat de termijn is afgestemd op wat nodig is om een incident te onderzoeken. Als dat beleid nog niet is vastgelegd, is dit vaak onderdeel van dezelfde procedure als de aanpak bij beveiligingsincidenten: wie logs gebruikt om een incident te reconstrueren, moet ook vastleggen hoe lang die logs bewaard blijven om dat te kunnen doen.

Onderbouwing: artikel 21 lid 2 en Annex A

De koppeling met artikel 21 lid 2, onderdelen (b) en (d), van Richtlijn (EU) 2022/2555 is indirect: de richtlijn eist incidentbehandeling en veilige systeemontwikkeling, en logbewaring is daarvoor een randvoorwaarde, geen expliciete eis. ISO/IEC 27001 Annex A is concreter met de maatregel over logging en monitoring, maar ook daar staat geen vaste termijn; de norm vraagt dat de organisatie zelf een periode bepaalt en motiveert. Bedrijven die al periodiek toetsen of hun maatregelen nog werken hebben de bewaartermijn van logs meestal al als vast onderdeel van die toetsing opgenomen, en kunnen die periode direct overnemen in het antwoord.