Journalisation et surveillance NIS 2 au titre de l'article 21(2)(b)
La journalisation est la couche de visibilité du traitement des incidents. L'article 21(2)(b) est l'endroit où réside l'obligation, et l'Allemagne la reprend au §30(2)(2) BSIG. Pour les fournisseurs numériques couverts, le point 3.2 du CIR nomme douze types d'événements et les règles opérationnelles.
La version courte
La journalisation et la surveillance ne constituent pas une obligation distincte au titre de NIS 2. Elles s'inscrivent dans la mesure de traitement des incidents de l'article 21(2)(b). La logique est simple : si vous ne pouvez pas voir ce qui se passe sur votre réseau, vous ne pouvez pas détecter un incident de sécurité, et vous ne pouvez pas le confiner.
Le point 3.2 du CIR (UE) 2024/2690 précise le détail pour les fournisseurs numériques énumérés à l'art. 1 du CIR (DNS, TLD, cloud, centres de données, CDN, MSP, MSSP, places de marché en ligne, moteurs de recherche, réseaux sociaux, services de confiance). Lorsque cela est approprié, les journaux couvrent douze types d'événements ; l'entité fixe des seuils d'alarme et sa propre durée de conservation, maintient ses sources de temps synchronisées et exploite la surveillance de manière redondante. Pour les autres entités, ce détail n'est pas une obligation légale ; en Allemagne, seuls les exploitants d'installations critiques doivent mettre en œuvre des systèmes de détection des attaques (§ 31 Abs. 2 BSIG).
L'Allemagne inscrit la mesure au §30(2)(2) BSIG. L'IT-Grundschutz propose OPS.1.1.5 « Protokollierung » et DER.1 « Detektion » comme briques ; ce sont des recommandations, pas un socle légal. Cette page parcourt la directive, le règlement d'exécution de l'UE qui en découle, et la transposition allemande, dans cet ordre.
Article 21(2)(b) de la directive NIS 2 (2022/2555)
La gestion des incidents.
Il s'agit du point (b) de la liste des dix mesures de cybersécurité que chaque entité essentielle et importante doit mettre en place. Le §3 du CIR le rend ensuite opérationnel. La journalisation et la surveillance s'inscrivent dans le §3.2.
CIR (UE) 2024/2690, Annexe §3.2.1
Les entités concernées établissent des procédures et utilisent des outils pour surveiller et journaliser les activités sur leurs réseaux et dans leurs systèmes d’information afin de détecter les événements qui pourraient être considérés comme des incidents et de réagir en conséquence pour en atténuer l’impact.
Parce qu'il s'agit d'un règlement (et non d'une directive), c'est du droit de l'UE directement contraignant pour les types d'entités énumérés à son art. 1 (DNS, TLD, cloud, centres de données, CDN, MSP, MSSP, places de marché en ligne, moteurs de recherche, réseaux sociaux, services de confiance). Le point 3.2 se décompose ensuite en sept sous-points couvrant les types d'événements à journaliser, l'alerte, la conservation, la synchronisation du temps et la redondance. Aucune transposition nationale n'est nécessaire.
§30(2)(2) BSIG (Allemagne)
La gestion des incidents.
L'Allemagne reprend le texte de l'UE mot pour mot. L'IT-Grundschutz propose OPS.1.1.5 « Protokollierung » et DER.1 « Detektion von sicherheitsrelevanten Ereignissen » comme briques ; ce sont des recommandations, pas un socle légal.
Journaliser les douze types d'événements
Construisez la liste des actifs à journaliser à partir de votre analyse des risques. Lorsque cela est approprié, capturez : le trafic réseau entrant et sortant, les modifications d'utilisateurs et de privilèges, les accès aux systèmes et aux applications, les événements d'authentification, toute activité à privilèges et d'administration, l'accès aux fichiers critiques de configuration ou de sauvegarde, les journaux des outils de sécurité (antivirus, IDS, pare-feu), l'utilisation des ressources système, l'accès physique, l'utilisation des équipements réseau, l'activation ou la suspension des journaux eux-mêmes, et les événements ambiants.
Revue, alarme, réponse qualifiée
Collecter des journaux ne suffit pas. Examinez-les à une cadence régulière pour repérer les tendances inhabituelles ou indésirables. Lorsque cela est approprié, fixez des seuils. Lorsqu'un seuil est dépassé, déclenchez une alarme automatisée. Et assurez-vous qu'une personne qualifiée réponde effectivement à temps. Le stockage sans revue n'est pas une journalisation au sens du §3.2.
Protéger, conserver, synchroniser le temps, rendre redondant
Les journaux eux-mêmes constituent des preuves. Conservez-les pendant une durée de conservation définie, protégez-les contre tout accès et toute modification non autorisés, synchronisez tous les systèmes dans le temps afin que les événements puissent être corrélés, et exploitez le système de surveillance de manière redondante. La surveillance du système de surveillance est elle-même indépendante des systèmes qu'elle surveille.
Les journaux sont un actif, pas un sous-produit
Le §3.2.5 traite les journaux comme des données critiques. Durée de conservation définie, protection contre l'altération, protection contre tout accès non autorisé. Si un attaquant peut supprimer les journaux qui montrent ce qu'il a fait, l'obligation de journalisation n'est pas satisfaite. C'est aussi pourquoi le point 3.2.3(k) cite « l'activation, l'arrêt et la mise en pause des différents journaux » parmi ce qu'il faut journaliser.
Examiner les journaux est le but, pas un simple plus
Pour les fournisseurs numériques couverts par le CIR, le point 3.2.4 demande des contrôles réguliers des tendances inhabituelles, des seuils lorsque cela est approprié, des alarmes automatisées en cas de dépassement de seuil, et une réponse qualifiée en temps utile. Un SIEM que personne ne regarde ne satisfait pas à cette exigence. Conservez une trace de qui a examiné quelles alertes, quand, et ce qui en a été fait.
BSI / IT-Grundschutz OPS.1.1.5 + DER.1
L'IT-Grundschutz propose OPS.1.1.5 « Protokollierung » (quoi journaliser, conservation, protection) et DER.1 « Detektion von sicherheitsrelevanten Ereignissen » (alerte et réponse) comme briques ; ce sont des recommandations, pas un socle légal.
Orientations techniques de mise en œuvre de l'ENISA
Le TIG de l'ENISA fournit des orientations et des exemples de preuves pour le point 3.2, y compris des exemples de seuils d'alarme, et précise que la durée de conservation se fixe selon les besoins de l'activité, l'analyse des risques et les exigences légales. Son tableau de correspondance relie le point 3.2 à ISO/IEC 27001:2022 A.5.28, A.8.15, A.8.16 et A.8.17 ; l'ENISA précise que cette correspondance n'est pas une mesure d'équivalence.
Lois nationales de transposition
Chaque État membre a sa propre transposition (Pays-Bas : Cyberbeveiligingswet ; Autriche : NISG 2026 ; Belgique : sa loi NIS2). Le point 3.2 du CIR s'applique directement dans chaque État membre, mais seulement aux fournisseurs numériques énumérés à l'art. 1 du CIR. Ce qui diffère : l'autorité nationale à laquelle vous vous adressez, et la façon dont la notification et la supervision sont gérées localement.
Nous conservons tous les journaux pour toujours, donc nous sommes couverts.
Pour les fournisseurs numériques couverts par le CIR, le point 3.2.5 demande une durée de conservation prédéfinie, et non une durée infinie. Pour tous, tout conserver pour toujours pose un problème de protection des données (limitation de la conservation, art. 5(1)(e) du GDPR) et un problème de coût. Décidez d'une fenêtre de conservation par type de journal, consignez-la, justifiez-la au regard de votre profil de risque, et tenez-vous-y.
Le SIEM s'en charge, donc tout va bien.
Presque, mais pas tout à fait. Pour les fournisseurs numériques couverts par le CIR, le point 3.2.4 n'exige pas seulement le stockage. Il exige une revue régulière, des seuils lorsque cela est approprié, des alarmes automatisées en cas de dépassement, et une personne qualifiée qui répond effectivement. Un SIEM qui fonctionne sans règles, ou avec des règles que personne n'ajuste, échoue au regard du §3.2.4.
Nous journalisons l'activité des utilisateurs mais pas celle des administrateurs.
Pour les fournisseurs numériques couverts par le CIR, le point 3.2.3(e) est explicite : tout accès à privilèges aux systèmes et aux applications ainsi que les activités des comptes d'administration. Les administrateurs sont les utilisateurs à plus fort impact sur votre réseau : leur activité a sa place dans les journaux.
La solution la moins coûteuse : construire la liste des actifs à journaliser à partir de votre analyse des risques, diriger les journaux vers un seul endroit (un magasin central de journaux ou un petit SIEM), fixer des seuils sur les événements qui comptent le plus, et les examiner régulièrement. Vous n'avez pas besoin d'un SOC managé dès le premier jour. Vous avez besoin de quelqu'un qui regarde les alertes et sait quoi faire.
- Directive (UE) 2022/2555 (NIS 2), article 21(2)(b): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Règlement d'exécution (UE) 2024/2690 de la Commission (CIR), Annexe §3.2: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Loi sur le BSI (BSIG), §30(2)(2) telle que modifiée par la loi de mise en œuvre de NIS2 et de renforcement de la cybersécurité
- IT-Grundschutz Kompendium, OPS.1.1.5 « Protokollierung » et DER.1 « Detektion »: bsi.bund.de/grundschutz
- Orientations techniques de mise en œuvre de l'ENISA pour le CIR (UE) 2024/2690 (version 1.0, juin 2025)
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
