Punkt 3.2 i bilaget til forordning 2024/2690 har en liste over tolv slags begivenheder, en digital enhed skal logge, hvor det er relevant. Listen over aktiver, der logges, bygger på risikovurderingen, logfilerne skal opbevares i en på forhånd fastsat periode, og tidskilderne skal i det omfang, det er muligt, være synkroniserede.
Hos en MSP, en cloududbyder eller et datacenter er logningen ofte det første, en auditor beder om at se. Den viser, om enheden kan opdage en hændelse, og om den bagefter kan forklare, hvad der skete. Her er kravene og det bevis, der hører til.
Procedurer og værktøjer
Punkt 3.2.1 og 3.2.2 kræver procedurer og værktøjer til overvågning og logning af aktiviteter i net- og informationssystemerne. Overvågningen skal i det omfang, det er muligt, være automatiseret og ske kontinuerligt eller med regelmæssige mellemrum. Procedurerne skal minimere falske positive og falske negative.
De tolv logkilder
Punkt 3.2.3 siger, at listen over aktiver, der logges, bygger på risikovurderingen. Hvor det er relevant, skal logfilerne omfatte:
- relevant udgående og indgående trafik
- når brugere oprettes, ændres eller slettes, og når tilladelser udvides
- adgang til systemer og applikationer
- autentificeringsbegivenheder
- al privilegeret adgang og det, administrative konti foretager sig
- adgang til eller ændring af kritiske konfigurations- og backupfiler
- logfiler fra sikkerhedsværktøjer som antivirus, systemer til opdagelse af indtrængen og firewalls
- brug af systemressourcer og ydeevne
- fysisk adgang til faciliteter
- adgang til og brug af netudstyr
- aktivering, standsning og pause af logningen
- miljøbegivenheder.
Listen er forenklet gengivet. Forbeholdet “hvor det er relevant” åbner for at vælge et punkt fra. Fravalget kræver en forståelig begrundelse, se dokumentationen af fravalg.
Gennemgang og alarmer
Efter punkt 3.2.4 gennemgås logfilerne regelmæssigt. Hvor det er relevant, fastsættes alarmtærskler. Udløses en alarm, skal der iværksættes en rettidig og kvalificeret reaktion.
En log, som ingen læser, opfylder ikke 3.2.4. Auditor ser derfor efter spor af gennemgangen, fx sager oprettet på grund af alarmer eller en dokumenteret gennemgang af bestemte logkilder.
Opbevaring
Punkt 3.2.5 siger, at logfiler og backups af dem opbevares i en på forhånd fastsat periode og beskyttes mod uautoriseret adgang eller ændring.
Forordningen fastsætter ikke selv perioden. Enheden skal altså beslutte en periode, skrive den ned og kunne vise, at den holdes. Perioden bør hænge sammen med risikovurderingen og med det, enheden har brug for, når en hændelse skal undersøges. Det sidste er en tolkning.
Tid, fortegnelse og reservesystemer
Punkt 3.2.6 har fire krav. I det omfang, det er muligt, bruges synkroniserede tidskilder. Der føres en liste over alle aktiver, der logges. Der er reservesystemer til overvågning og logning. Og overvågningssystemernes tilgængelighed overvåges uafhængigt af de systemer, de overvåger.
Det sidste krav fanger en klassisk svaghed. Går logserveren ned sammen med det system, den overvåger, opdager ingen, at logningen er stoppet. Punkt 3.2.7 kræver, at logningen gennemgås regelmæssigt og efter væsentlige hændelser.
Sådan prøver auditor punktet
Fremgangsmåden er almindelig praksis og ikke forordningens.
Første skridt er listen over aktiver, der logges. Den holdes op mod risikovurderingen og aktivfortegnelsen. Mangler et kritisk system på listen, er det et fund.
Dernæst vælger auditor nogle af de tolv kilder og beder om et udtræk fra en bestemt dag. Er der fx logget en oprettelse af en administrativ konto, og kan den spores til en godkendt sag? Stemmer tidsstemplerne på tværs af to systemer, der har talt sammen? Findes logfilerne fra den ældste dato inden for opbevaringsperioden?
Auditor beder også om spor af, at logningen selv overvåges. En alarm, der går, når en logkilde holder op med at sende, er et godt bevis.
Hvordan logs bruges som bevis i en audit, står i logs og ændringsspor som bevis. Konfigurationen af de enkelte logkilder og centralt logsystem hører til en teknisk gennemgang af logningen.
Logning i kundernes miljøer
En udbyder af administrerede tjenester arbejder ofte inde i kundernes systemer. Bilaget siger ikke, hvem der logger hvad, når udbyderens teknikere er logget på hos en kunde. En auditor vil derfor spørge, hvor sporet efter udbyderens egne handlinger ligger, og om udbyderen selv kan hente det. Ligger det kun hos kunden, har udbyderen svært ved at vise sin egen privilegerede adgang. Det er en tolkning af kravet om at logge den.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over aktiver, der logges, med en kobling til risikovurderingen, en fastsat opbevaringsperiode, synkroniseret tid og en overvågning af logningen selv. Driften skal kunne levere udtræk på kort varsel.
Uden logningen kan enheden hverken opdage en hændelse i tide eller måle, om den ramte en af tærsklerne for en væsentlig hændelse. Det står i væsentlig hændelse efter forordningen.
Det skal I lade være med
- At logge alt uden en liste over aktiver · punkt 3.2.6 kræver en fortegnelse.
- At lade opbevaringsperioden være uafklaret · den skal være fastsat på forhånd.
- At overvåge logningen fra det system, der logges · tilgængeligheden skal overvåges uafhængigt.
Det skal auditten kunne vise
- ☐ En liste over aktiver, der logges, med kobling til risikovurderingen.
- ☐ Logning af de relevante af de tolv kilder og begrundelser for fravalg.
- ☐ En fastsat opbevaringsperiode og beskyttelse mod ændring.
- ☐ Synkroniserede tidskilder og tidsstempler, der stemmer på tværs.
- ☐ Spor af regelmæssig gennemgang og af reaktion på alarmer.
- ☐ Uafhængig overvågning af logsystemernes tilgængelighed.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 2 og bilaget punkt 3.2, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed driften om et udtræk af alle nye administrative konti i sidste måned, og prøv at finde godkendelsen til hver af dem.
Læs også: Logning og overvågning i NIS2-auditten · Privilegerede konti efter punkt 11
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
