Os eventos nos sistemas são registados e retidos?

O registo de atividades enquadra-se em várias medidas do artigo 21.º, n.º 2

Não existe um ponto separado «registo de atividades» no artigo 21.º, n.º 2 da Diretiva NIS2. A questão sobre o registo e conservação de eventos nos sistemas afeta principalmente o ponto b, respeitante ao tratamento de incidentes, e o ponto d, relativo à continuidade operacional e gestão de crises. O registo de atividades é a prova com a qual é possível reconstruir um incidente: quem fez o quê, quando, a partir de que sistema. Sem registos, o procedimento de tratamento de incidentes na prática é difícil de demonstrar, mesmo que o procedimento exista no papel.

O que o cliente pergunta exatamente varia consoante a lista de questões. Alguns portais perguntam apenas se o registo de atividades é realizado, outros perguntam sobre o período de retenção, sobre que sistemas são registados, ou sobre quem tem acesso aos registos. Este último aspeto relaciona-se novamente com a política de acesso: se os registos podem ser alterados pelas mesmas pessoas que os deveriam controlar, é a política de acesso e gestão de ativos da organização relevante mencionar. Se não tem um registo centralizado ou nenhum período de retenção definido, responda então com não ou «parcialmente» — um ficheiro solto do Excel com mensagens de erro não conta automaticamente como prova, e uma resposta inventada «sim» não o é menos.

Artigo 21.º, n.º 2, em particular sob b e d

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona dez categorias de medidas que uma entidade deve tomar, com base numa abordagem de «todos os riscos». O registo de atividades não está mencionado literalmente como categoria própria, mas é incluído na prática na alínea b (tratamento de incidentes) e na alínea d (continuidade operacional, como gestão de cópias de segurança e gestão de crises), porque eventos registados são necessários para identificar, investigar e prestar contas de um incidente posteriormente. Qual é o requisito exato que um cliente associa a isto — período de retenção, cobertura, controlo de acesso aos próprios registos — não está desenvolvido na própria diretiva, mas é frequentemente detalhado na transposição nacional ou no portal do cliente.