Logowanie i monitorowanie w NIS 2 na podstawie Artykułu 21(2)(b)
Logowanie to warstwa widoczności obsługi incydentów. Artykuł 21(2)(b) jest miejscem, w którym żyje obowiązek, a Niemcy umieszczają go w §30(2)(2) BSIG. Dla objętych nim dostawców cyfrowych CIR pkt 3.2 wymienia dwanaście typów zdarzeń i zasady operacyjne.
Krótka wersja
Logowanie i monitorowanie nie są odrębnym obowiązkiem w ramach NIS 2. Mieszczą się one wewnątrz środka obsługi incydentów z Artykułu 21(2)(b). Logika jest prosta: jeśli nie widzisz, co dzieje się w Twojej sieci, nie wykryjesz incydentu bezpieczeństwa i nie zdołasz go opanować.
CIR (EU) 2024/2690 pkt 3.2 uzupełnia szczegóły dla dostawców cyfrowych wymienionych w art. 1 CIR (DNS, TLD, chmura, centra danych, CDN, MSP, MSSP, internetowe platformy handlowe, wyszukiwarki, sieci społecznościowe, usługi zaufania). W stosownych przypadkach logi obejmują dwanaście rodzajów zdarzeń; podmiot sam ustala progi alarmowe i własny okres retencji, utrzymuje zsynchronizowane źródła czasu i prowadzi monitorowanie redundantnie. Dla pozostałych podmiotów te szczegóły nie są obowiązkiem ustawowym; w Niemczech tylko operatorzy instalacji krytycznych muszą stosować systemy wykrywania ataków (§ 31 ust. 2 BSIG).
Niemcy umieszczają ten środek w §30(2)(2) BSIG. IT-Grundschutz oferuje OPS.1.1.5 'Protokollierung' oraz DER.1 'Detektion' jako elementy składowe; są to zalecenia, a nie ustawowy standard minimalny. Ta strona omawia dyrektywę, uzupełniające rozporządzenie UE oraz niemiecką transpozycję w tej kolejności.
Artykuł 21(2)(b) Dyrektywy NIS 2 (2022/2555)
Obsługę incydentu.
To punkt (b) na liście dziesięciu środków cyberbezpieczeństwa, które każdy podmiot kluczowy i ważny musi wdrożyć. CIR §3 następnie go operacjonalizuje. Logowanie i monitorowanie mieszczą się wewnątrz §3.2.
CIR (EU) 2024/2690, Załącznik §3.2.1
Odpowiednie podmioty określają procedury i korzystają z narzędzi do monitorowania i rejestrowania działań w swoich sieciach i systemach informatycznych, aby wykrywać zdarzenia mogące stanowić incydenty, a także podejmują odpowiednie działania w celu ograniczenia ich skutków.
Ponieważ jest to rozporządzenie (a nie dyrektywa), stanowi bezpośrednio wiążące prawo UE dla rodzajów podmiotów wymienionych w jego art. 1 (DNS, TLD, chmura, centra danych, CDN, MSP, MSSP, internetowe platformy handlowe, wyszukiwarki, sieci społecznościowe, usługi zaufania). Pkt 3.2 dzieli się następnie na siedem podpunktów obejmujących rodzaje zdarzeń do logowania, alarmowanie, retencję, synchronizację czasu i redundancję. Transpozycja krajowa nie jest potrzebna.
§30(2)(2) BSIG (Niemcy)
Obsługę incydentu.
Niemcy kopiują tekst UE słowo w słowo. IT-Grundschutz oferuje OPS.1.1.5 'Protokollierung' oraz DER.1 'Detektion von sicherheitsrelevanten Ereignissen' jako elementy składowe; są to zalecenia, a nie ustawowy standard minimalny.
Loguj dwanaście typów zdarzeń
Listę aktywów do logowania zbuduj na podstawie swojej analizy ryzyka. W stosownych przypadkach rejestruj: przychodzący i wychodzący ruch sieciowy, zmiany użytkowników i uprawnień, dostęp do systemów i aplikacji, zdarzenia uwierzytelniania, całą aktywność uprzywilejowaną i administracyjną, dostęp do krytycznych plików konfiguracyjnych lub kopii zapasowych, logi narzędzi bezpieczeństwa (AV, IDS, zapora), wykorzystanie zasobów systemowych, dostęp fizyczny, użycie sprzętu sieciowego, aktywację lub wstrzymanie samych logów oraz zdarzenia środowiskowe.
Przegląd, alarm, wykwalifikowana reakcja
Zbieranie logów nie wystarczy. Sprawdzaj je w regularnym rytmie pod kątem nietypowych lub niepożądanych trendów. Tam, gdzie to właściwe, ustaw progi. Gdy próg zostanie przekroczony, uruchom automatyczny alarm. I upewnij się, że ktoś wykwalifikowany faktycznie reaguje na czas. Przechowywanie bez przeglądu nie jest logowaniem w rozumieniu §3.2.
Chroń, przechowuj, synchronizuj czas, zapewnij redundancję
Same logi są dowodem. Przechowuj je przez określony okres retencji, chroń przed nieuprawnionym dostępem i zmianami, synchronizuj czas wszystkich systemów, aby zdarzenia można było skorelować, i prowadź system monitorowania w sposób redundantny. Monitorowanie systemu monitorowania jest samo w sobie niezależne od systemów, które monitoruje.
Logi to aktywa, a nie produkt uboczny
§3.2.5 traktuje logi jak dane krytyczne. Określony okres retencji, ochrona przed manipulacją, ochrona przed nieuprawnionym dostępem. Jeśli napastnik może usunąć logi pokazujące, co zrobił, obowiązek logowania nie jest spełniony. Dlatego też pkt 3.2.3(k) wymienia 'aktywację, zatrzymanie i wstrzymanie poszczególnych logów' jako coś, co należy logować.
Przegląd logów jest sednem sprawy, a nie miłym dodatkiem
Dla objętych CIR dostawców cyfrowych pkt 3.2.4 wymaga regularnych kontroli pod kątem nietypowych trendów, progów tam, gdzie to właściwe, automatycznych alarmów przy przekroczeniu progu oraz terminowej wykwalifikowanej reakcji. SIEM, na który nikt nie patrzy, tego nie spełnia. Prowadź zapis tego, kto które alerty przeglądał, kiedy i co z nimi zrobił.
BSI / IT-Grundschutz OPS.1.1.5 + DER.1
IT-Grundschutz oferuje OPS.1.1.5 'Protokollierung' (co logować, retencja, ochrona) oraz DER.1 'Detektion von sicherheitsrelevanten Ereignissen' (alarmowanie i reagowanie) jako elementy składowe; są to zalecenia, a nie ustawowy standard minimalny.
ENISA Technical Implementation Guidance
TIG ENISA podaje wskazówki i przykłady dowodów dla pkt 3.2, w tym przykładowe progi alarmów, i wskazuje, że okres retencji ustala się na podstawie potrzeb biznesowych, analizy ryzyka i wymogów prawnych. Jej tabela mapowania łączy pkt 3.2 z ISO/IEC 27001:2022 A.5.28, A.8.15, A.8.16 i A.8.17; ENISA zaznacza, że mapowanie nie jest miarą równoważności.
Krajowe ustawy transponujące
Każde państwo członkowskie ma własną transpozycję (Holandia: Cyberbeveiligingswet; Austria: NISG 2026; Belgia: własna ustawa NIS2). Pkt 3.2 CIR obowiązuje bezpośrednio w każdym państwie członkowskim, ale tylko dla dostawców cyfrowych wymienionych w art. 1 CIR. Co się różni: z którym organem krajowym rozmawiasz oraz jak lokalnie prowadzone są zgłaszanie i nadzór.
Przechowujemy wszystkie logi na zawsze, więc jesteśmy zabezpieczeni.
Dla objętych CIR dostawców cyfrowych pkt 3.2.5 wymaga z góry określonego okresu retencji, a nie nieskończonego. Dla wszystkich przechowywanie wszystkiego na zawsze to problem ochrony danych (Art. 5(1)(e) GDPR ograniczenie przechowywania) i problem kosztowy. Ustal okno retencji dla każdego typu logu, zapisz je, uzasadnij względem swojego obrazu ryzyka i się go trzymaj.
SIEM to ma, więc jest w porządku.
Blisko, ale nie do końca. Dla objętych CIR dostawców cyfrowych pkt 3.2.4 nie wymaga tylko przechowywania. Wymaga regularnego przeglądu, progów tam, gdzie to właściwe, automatycznych alarmów przy przekroczeniu oraz wykwalifikowanej osoby, która faktycznie reaguje. SIEM, który działa bez reguł lub z regułami, których nikt nie dostraja, nie spełnia §3.2.4.
Logujemy aktywność użytkowników, ale nie aktywność administratorów.
Dla objętych CIR dostawców cyfrowych pkt 3.2.3(e) jest jednoznaczny: cały uprzywilejowany dostęp do systemów i aplikacji oraz działania kont administracyjnych. Administratorzy to użytkownicy o największym wpływie w Twojej sieci, więc ich aktywność należy do logów.
Najtańszy start: zbuduj listę aktywów do logowania na podstawie swojej analizy ryzyka, kieruj logi w jedno miejsce (centralne repozytorium logów lub mały SIEM), ustaw progi na zdarzeniach, które mają największe znaczenie, i przeglądaj je regularnie. Nie potrzebujesz zarządzanego SOC pierwszego dnia. Potrzebujesz kogoś, kto patrzy na alarmy i wie, co robić.
- Dyrektywa (EU) 2022/2555 (NIS 2), Artykuł 21(2)(b): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Rozporządzenie wykonawcze Komisji (EU) 2024/2690 (CIR), Załącznik §3.2: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Ustawa o BSI (BSIG), §30(2)(2) w brzmieniu zmienionym Ustawą o wdrożeniu NIS2 i wzmocnieniu cyberbezpieczeństwa
- IT-Grundschutz Kompendium, OPS.1.1.5 'Protokollierung' oraz DER.1 'Detektion': bsi.bund.de/grundschutz
- ENISA Technical Implementation Guidance dla CIR (EU) 2024/2690 (wersja 1.0, czerwiec 2025)
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
