Jurnalizare și monitorizare NIS 2 în temeiul articolului 21(2)(b)
Jurnalizarea este stratul de vizibilitate al gestionării incidentelor. Articolul 21(2)(b) este locul unde se află obligația, iar Germania o preia în §30(2)(2) BSIG. Pentru furnizorii digitali pe care îi acoperă, CIR punctul 3.2 enumeră cele douăsprezece tipuri de evenimente și regulile operaționale.
Pe scurt
Jurnalizarea și monitorizarea nu sunt o obligație separată în NIS 2. Ele se află în interiorul măsurii de gestionare a incidentelor de la articolul 21(2)(b). Logica este simplă: dacă nu puteți vedea ce se întâmplă în rețeaua dumneavoastră, nu puteți detecta un incident de securitate și nu îl puteți limita.
CIR (UE) 2024/2690 punctul 3.2 completează detaliile pentru furnizorii digitali enumerați la art. 1 CIR (DNS, TLD, cloud, centre de date, CDN, MSP, MSSP, piețe online, motoare de căutare, rețele sociale, servicii de încredere). După caz, jurnalele acoperă douăsprezece tipuri de evenimente; entitatea stabilește pragurile de alarmă și propria perioadă de retenție, menține sincronizate sursele de timp și rulează monitorizarea în mod redundant. Pentru celelalte entități acest detaliu nu este o obligație legală; în Germania doar operatorii de instalații critice trebuie să utilizeze sisteme de detectare a atacurilor (§ 31 Abs. 2 BSIG).
Germania preia măsura în §30(2)(2) BSIG. IT-Grundschutz oferă OPS.1.1.5 'Protokollierung' și DER.1 'Detektion' ca elemente de construcție; sunt recomandări, nu o bază legală. Această pagină parcurge directiva, regulamentul UE de punere în aplicare și transpunerea germană, în această ordine.
Articolul 21(2)(b) din Directiva NIS 2 (2022/2555)
Gestionarea incidentelor.
Acesta este punctul (b) de pe lista celor zece măsuri de securitate cibernetică pe care fiecare entitate esențială și importantă trebuie să le pună în aplicare. CIR §3 îl operaționalizează apoi. Jurnalizarea și monitorizarea se află în interiorul §3.2.
CIR (UE) 2024/2690, Anexa §3.2.1
Entitățile relevante stabilesc proceduri și utilizează instrumente pentru monitorizarea și jurnalizarea activităților în rețelele lor și în sistemele lor informatice pentru a detecta evenimentele care ar putea fi considerate incidente și pentru a răspunde în consecință pentru a atenua impactul.
Întrucât acesta este un regulament (nu o directivă), este drept UE direct obligatoriu pentru tipurile de entități enumerate la art. 1 (DNS, TLD, cloud, centre de date, CDN, MSP, MSSP, piețe online, motoare de căutare, rețele sociale, servicii de încredere). Punctul 3.2 se împarte apoi în șapte subpuncte care acoperă tipurile de evenimente de jurnalizat, alertarea, retenția, sincronizarea timpului și redundanța. Nu este nevoie de transpunere națională.
§30(2)(2) BSIG (Germania)
Gestionarea incidentelor.
Germania copiază textul UE cuvânt cu cuvânt. IT-Grundschutz oferă OPS.1.1.5 'Protokollierung' și DER.1 'Detektion von sicherheitsrelevanten Ereignissen' ca elemente de construcție; sunt recomandări, nu o bază legală.
Jurnalizați cele douăsprezece tipuri de evenimente
Construiți lista activelor de jurnalizat pornind de la evaluarea dumneavoastră a riscurilor. Acolo unde este cazul, captați: traficul de rețea de intrare și de ieșire, modificările de utilizatori și de privilegii, accesul la sisteme și aplicații, evenimentele de autentificare, toată activitatea privilegiată și de administrare, accesul la fișiere de configurare sau de backup critice, jurnalele instrumentelor de securitate (AV, IDS, firewall), utilizarea resurselor de sistem, accesul fizic, utilizarea echipamentelor de rețea, activarea sau suspendarea jurnalelor în sine și evenimentele de mediu.
Revizuire, alarmă, răspuns calificat
Colectarea jurnalelor nu este suficientă. Verificați-le cu o cadență regulată pentru tendințe neobișnuite sau nedorite. Acolo unde este cazul, stabiliți praguri. Când un prag este depășit, declanșați o alarmă automată. Și asigurați-vă că cineva calificat răspunde efectiv la timp. Stocarea fără revizuire nu înseamnă jurnalizare în temeiul §3.2.
Protejare, retenție, sincronizare a timpului, redundanță
Jurnalele în sine sunt probe. Păstrați-le pentru o perioadă de retenție definită, protejați-le împotriva accesului neautorizat și a modificărilor, sincronizați în timp toate sistemele astfel încât evenimentele să poată fi corelate și rulați sistemul de monitorizare în mod redundant. Monitorizarea sistemului de monitorizare este ea însăși independentă de sistemele pe care le monitorizează.
Jurnalele sunt un activ, nu un produs secundar
§3.2.5 tratează jurnalele ca pe date critice. Perioadă de retenție definită, protecție împotriva alterării, protecție împotriva accesului neautorizat. Dacă un atacator poate șterge jurnalele care arată ce a făcut, obligația de jurnalizare nu este îndeplinită. Tocmai de aceea punctul 3.2.3(k) enumeră 'activarea, oprirea și suspendarea diferitelor jurnale' printre lucrurile de jurnalizat.
Revizuirea jurnalelor este scopul întregului efort, nu un lucru opțional
Pentru furnizorii digitali acoperiți de CIR, punctul 3.2.4 cere verificări regulate pentru tendințe neobișnuite, praguri acolo unde este cazul, alarme automate la depășirea pragului și un răspuns calificat în timp util. Un SIEM la care nu se uită nimeni nu îndeplinește această cerință. Păstrați o evidență a cine a revizuit ce alerte, când și ce a făcut în privința lor.
BSI / IT-Grundschutz OPS.1.1.5 + DER.1
IT-Grundschutz oferă OPS.1.1.5 'Protokollierung' (ce se jurnalizează, retenția, protecția) și DER.1 'Detektion von sicherheitsrelevanten Ereignissen' (alertare și răspuns) ca elemente de construcție; sunt recomandări, nu o bază legală.
Ghidul tehnic de implementare al ENISA
TIG al ENISA oferă orientări și exemple de probe pentru punctul 3.2, inclusiv exemple de praguri de alarmă, și precizează că perioada de retenție se stabilește în funcție de nevoile afacerii, de evaluarea riscurilor și de cerințele legale. Tabelul său de mapare leagă punctul 3.2 de ISO/IEC 27001:2022 A.5.28, A.8.15, A.8.16 și A.8.17; ENISA precizează că maparea nu este o măsură a echivalenței.
Legile naționale de transpunere
Fiecare stat membru are propria transpunere (Țările de Jos: Cyberbeveiligingswet; Austria: NISG 2026; Belgia: propria lege NIS2). Punctul 3.2 CIR se aplică direct în fiecare stat membru, dar numai furnizorilor digitali enumerați la art. 1 CIR. Ce diferă: cu ce autoritate națională discutați și cum sunt gestionate local raportarea și supravegherea.
Păstrăm toate jurnalele pe veci, deci suntem acoperiți.
Pentru furnizorii digitali acoperiți de CIR, punctul 3.2.5 cere o perioadă de retenție predefinită, nu una infinită. Pentru toți, păstrarea tuturor jurnalelor pe veci este o problemă de protecție a datelor (art. 5(1)(e) GDPR, limitarea stocării) și o problemă de cost. Stabiliți o fereastră de retenție pe fiecare tip de jurnal, scrieți-o, justificați-o în raport cu profilul dumneavoastră de risc și respectați-o.
SIEM-ul le are, deci suntem în regulă.
Aproape, dar nu chiar. Pentru furnizorii digitali acoperiți de CIR, punctul 3.2.4 nu cere doar stocare. Cere revizuire regulată, praguri acolo unde este cazul, alarme automate la depășire și o persoană calificată care răspunde efectiv. Un SIEM care rulează fără reguli, sau cu reguli pe care nimeni nu le ajustează, nu respectă §3.2.4.
Jurnalizăm activitatea utilizatorilor, dar nu și activitatea de administrare.
Pentru furnizorii digitali acoperiți de CIR, punctul 3.2.3(e) este explicit: tot accesul privilegiat la sisteme și aplicații plus activitățile conturilor de administrare. Administratorii sunt utilizatorii cu cel mai mare impact din rețeaua dumneavoastră, deci activitatea lor aparține jurnalelor.
Începutul cel mai ieftin: construiți lista activelor de jurnalizat pornind de la evaluarea dumneavoastră a riscurilor, trimiteți jurnalele într-un singur loc (un depozit central de jurnale sau un SIEM mic), stabiliți praguri pe evenimentele cele mai importante și revizuiți-le regulat. Nu aveți nevoie de un SOC gestionat din prima zi. Aveți nevoie de cineva care se uită la alerte și știe ce să facă.
- Directiva (UE) 2022/2555 (NIS 2), articolul 21(2)(b). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei (CIR), Anexa §3.2. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Legea BSI (BSIG), §30(2)(2) astfel cum a fost modificată prin Legea de implementare a NIS2 și de consolidare a securității cibernetice
- IT-Grundschutz Kompendium, OPS.1.1.5 'Protokollierung' și DER.1 'Detektion'. bsi.bund.de/grundschutz
- Ghidul tehnic de implementare al ENISA pentru CIR (UE) 2024/2690 (versiunea 1.0, iunie 2025)
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
