NIS2 eist dat organisaties aantoonbaar inzicht hebben in wat er op hun netwerken en systemen gebeurt. Dat betekent concrete verplichtingen op het gebied van logging en monitoring: relevante gebeurtenissen moeten worden vastgelegd, bewaard en actief bewaakt. De exacte invulling hangt af van uw risicoprofiel en sector, maar de richting is helder. Hieronder beantwoorden we de meest gestelde vragen over NIS2 logging en monitoring.
Welke specifieke loggegevens moeten organisaties bijhouden onder NIS2?
Onder NIS2 moeten organisaties alle loggegevens bijhouden die nodig zijn om beveiligingsincidenten te detecteren, te onderzoeken en te rapporteren. Denk aan inlogpogingen, toegang tot gevoelige systemen, wijzigingen in gebruikersrechten, netwerkverkeer en systeemfouten. Er is geen uitputtende wettelijke lijst, maar de zorgplicht vereist dat uw logging aansluit op uw risicobeoordeling.
De NIS2-richtlijn, en in Nederland de aankomende Cyberbeveiligingswet, schrijft voor dat organisaties passende en evenredige maatregelen nemen. Logging is een van de minimummaatregelen die voortvloeien uit de zorgplicht. In de praktijk betekent dit dat de volgende categorieën loggegevens vrijwel altijd relevant zijn:
- Authenticatiegebeurtenissen: geslaagde en mislukte inlogpogingen, gebruik van multi-factorauthenticatie
- Toegangsbeheer: wijzigingen in gebruikersaccounts, rechten en rollen
- Systeemgebeurtenissen: het opstarten en afsluiten van systemen, configuratiewijzigingen
- Netwerkverkeer: verbindingen van en naar kritieke systemen, afwijkend verkeer
- Applicatiegebeurtenissen: fouten, uitzonderingen en beveiligingswaarschuwingen
- Toegang tot gevoelige data: wie heeft welke bestanden of databases benaderd
De BIO2, die voor overheidsorganisaties de normatieve invulling van de NIS2-zorgplicht vormt, geeft verdere uitwerking aan welke logcategorieën relevant zijn per type systeem. Voor andere sectoren bieden standaarden zoals ISO 27002 een vergelijkbaar houvast. Belangrijk is dat logging niet als losse technische maatregel wordt gezien, maar als onderdeel van een breder beleid voor risicoanalyse en incidentbeheer.
Hoe lang moeten logbestanden bewaard worden volgens NIS2?
NIS2 stelt geen vaste bewaartermijn voor logbestanden vast in de richtlijntekst zelf. De bewaartermijn moet worden bepaald op basis van uw risicobeoordeling en de eisen vanuit sectorale regelgeving. Een gangbare termijn in de praktijk is minimaal drie tot twaalf maanden, afhankelijk van het type log en de gevoeligheid van de systemen.
De redenering achter een langere bewaartermijn is praktisch: veel aanvallen worden pas weken of maanden na de initiële inbraak ontdekt. Als logbestanden dan al zijn verwijderd, is forensisch onderzoek onmogelijk en kunt u niet voldoen aan de meldplicht. Onder de Cyberbeveiligingswet moet u bij een significant incident binnen 24 uur een eerste melding doen en binnen een maand een eindverslag aanleveren. Zonder adequate loghistorie is dat eindverslag niet te onderbouwen.
Houd bij het bepalen van uw bewaartermijn ook rekening met de AVG. Logbestanden bevatten vaak persoonsgegevens, wat betekent dat u niet onbeperkt kunt bewaren. De afweging tussen beveiligingsbelang en privacybescherming moet expliciet worden gemaakt en gedocumenteerd in uw beleid.
Wat is het verschil tussen logging en monitoring in de context van NIS2?
Logging is het vastleggen van gebeurtenissen in systemen en netwerken. Monitoring is het actief analyseren van die gegevens om afwijkingen en dreigingen in (bijna) realtime te signaleren. Beide zijn vereist onder NIS2: logging zonder monitoring levert alleen een archief op, monitoring zonder logging mist de feitenbasis om op te reageren.
Het onderscheid is niet alleen technisch maar ook operationeel. Logging is passief: systemen schrijven automatisch wat er gebeurt naar een logbestand of SIEM-platform. Monitoring vereist actieve aandacht: iemand of een geautomatiseerd systeem analyseert de logs op patronen die wijzen op een beveiligingsincident. Denk aan meerdere mislukte inlogpogingen binnen korte tijd, ongebruikelijke datatransfers of toegang buiten kantooruren.
Voor NIS2-compliance zijn beide elementen onlosmakelijk verbonden. De zorgplicht vereist dat u niet alleen maatregelen neemt, maar ook kunt aantonen dat u in staat bent incidenten tijdig te detecteren. Een organisatie die wel logt maar nooit actief monitort, voldoet in de praktijk niet aan de geest van de wet. Veel organisaties kiezen daarom voor een combinatie van geautomatiseerde alerting en periodieke handmatige review, eventueel ondersteund door een virtuele CISO-dienst die continu meekijkt.
Wie binnen een organisatie is verantwoordelijk voor NIS2-conforme logging?
De eindverantwoordelijkheid voor NIS2-conforme logging ligt bij het bestuur van de organisatie. NIS2 legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij de bestuurders, niet bij de IT-afdeling. Bestuurders moeten aantoonbaar kennis hebben van beveiligingsrisico’s en weloverwogen beslissingen nemen over de maatregelen die worden genomen.
In de praktijk betekent dit een gedeelde verantwoordelijkheid. De IT- of securityafdeling implementeert en beheert de logging- en monitoringinfrastructuur. De CISO of functioneel verantwoordelijke stelt het beleid op en bewaakt de naleving. Het bestuur stelt de kaders, keurt het beleid goed en draagt de formele verantwoordelijkheid richting toezichthouder.
De Cyberbeveiligingswet verplicht bestuurders bovendien een training te volgen om beveiligingsrisico’s te kunnen beoordelen. Dit geldt ook voor de keuzes rondom logging en monitoring: een bestuurder die niet begrijpt waarom logretentie belangrijk is, kan geen verantwoorde beslissing nemen over de bijbehorende investering. Voor overheidsorganisaties is de politieke leiding aangewezen als bestuur in de zin van de wet, wat de verantwoordelijkheid nog explicieter maakt.
Hoe controleer je of je logging voldoet aan NIS2?
U controleert NIS2-conforme logging door uw huidige logpraktijk te toetsen aan de vereisten uit uw risicobeoordeling en het toepasselijke normenkader, zoals de BIO2 voor overheden of ISO 27002 voor andere sectoren. Een gestructureerde gap-analyse brengt in kaart wat u logt, hoe lang u bewaart, wie monitort en of alerting functioneert zoals bedoeld.
Concrete stappen voor een zelfevaluatie zijn:
- Inventariseer welke systemen en applicaties momenteel logs genereren en of alle kritieke systemen zijn gedekt
- Controleer of logbestanden centraal worden opgeslagen en beschermd tegen manipulatie
- Toets de bewaartermijnen aan uw risicobeoordeling en sectorale eisen
- Evalueer of monitoringprocessen zijn ingericht en wie verantwoordelijk is voor opvolging van meldingen
- Test of u bij een gesimuleerd incident de benodigde informatie kunt reconstrueren uit uw logs
Voor een objectiever beeld kunt u een externe penetratietest of security assessment laten uitvoeren. Daarmee toetst u niet alleen of uw logging technisch klopt, maar ook of een aanvaller onopgemerkt door uw monitoring heen zou kunnen gaan. Dat laatste is juist wat NIS2 wil voorkomen.
Wat zijn de gevolgen als logging en monitoring niet op orde zijn onder NIS2?
Als logging en monitoring niet voldoen aan de NIS2-eisen, riskeren organisaties zowel toezichtsmaatregelen als aanzienlijke boetes. Essentiële entiteiten kunnen boetes ontvangen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten riskeren boetes tot 7 miljoen euro of 1,4% van de jaaromzet. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.
Naast de financiële gevolgen zijn er operationele risico’s. Zonder adequate logging kunt u bij een incident niet voldoen aan de meldplicht: de wet vereist een eerste melding binnen 24 uur en een eindverslag binnen een maand. Als u de benodigde informatie niet kunt reconstrueren, schiet u tekort in beide verplichtingen, wat de toezichthouder als verzwarende omstandigheid kan beschouwen.
De Rijksinspectie Digitale Infrastructuur (RDI) is voor overheidsorganisaties aangewezen als toezichthouder en kan actief controleren of organisaties aan hun zorgplicht voldoen. Daarbij wordt niet alleen gekeken naar wat er op papier staat, maar ook naar wat er in de praktijk aantoonbaar werkt. Een goed gedocumenteerde logging- en monitoringpraktijk is daarmee niet alleen een technische maatregel, maar ook een juridisch en bestuurlijk vangnet.
Hoe Q-Cyber helpt met NIS2 logging en monitoring
Wij begeleiden organisaties bij het concreet invullen van hun NIS2-verplichtingen op het gebied van logging en monitoring. Dat doen we onafhankelijk en zonder binding aan softwarepartijen, zodat ons advies altijd aansluit op uw specifieke situatie en risicoprofiel.
Wat we voor u kunnen doen:
- Gap-analyse: we brengen in kaart welke loggegevens u al bijhoudt, wat er ontbreekt en waar de risico’s zitten
- Beleid op maat: we schrijven een logging- en monitoringbeleid dat aansluit op NIS2-vereisten en uw organisatiecontext
- Technische toetsing: via security assessments en pentests testen we of uw monitoring in de praktijk werkt
- Bestuurderstraining: we verzorgen trainingen zodat uw bestuur de vereiste kennis heeft om weloverwogen beslissingen te nemen
- Virtuele CISO: via ons Continuous-Q programma bewaken we continu uw beveiligingsniveau, inclusief logging en monitoring
NIS2-compliance is geen eenmalig project maar een doorlopend proces. Wacht niet tot de Cyberbeveiligingswet formeel in werking treedt: de risico’s zijn er nu al, en wie nu in actie komt, staat straks sterker. Neem contact op en we kijken samen wat uw organisatie nodig heeft.
Gerelateerde artikelen
- Phishingsimulaties: waarom en hoe zet je ze in?
- Wat is threat intelligence?
- Waarom is netwerkbeveiliging de kern van NIS2?
- Hoe richt je netwerksegmentatie in voor NIS2?
- Wat is ransomware en hoe bescherm je je bedrijf?
- Wat is business continuity management?
- Hoe plan je een pentest project?
- Is een pentest verplicht?
- Hoe ontdek ik of er malware actief is op onze servers?
- Waarom is pentesten belangrijk voor bedrijven?