Logning og overvågning er det, der gør det muligt at opdage en hændelse og bagefter forstå, hvad der skete. En audit af punktet holder jeres logkilder, opbevaring, alarmer og reaktion op mod listen i Styrelsen for Samfundssikkerheds vejledning og spørger, om nogen faktisk reagerer, når en alarm går.
Logs alene opdager intet. Det er overvågningen og den person, der handler på den, der gør forskellen.
Grundlaget i loven
Logning har ikke sit eget nummer i lovens § 6, stk. 1. Den hører under hændelseshåndteringen. Bemærkningerne til loven, som vejledningen fra juni 2025 citerer, kræver logning og monitorering i fornødent omfang og beskyttelse af logdata.
De krav, vejledningen stiller
Vejledningen har fire “skal”. Enheden skal i nødvendigt omfang have processer og værktøjer til at monitorere, logge og reagere. Den skal vedligeholde, dokumentere og gennemgå logfiler. Ingen må kunne ændre i logdata, og kun de rette må kunne se dem. Og når en alarm går, skal ansvarligt personale sikre en passende reaktion.
Det sidste krav er det, der binder logningen til hændelseshåndteringen. En alarm, ingen ser, opfylder ikke kravet.
Hvad der kan logges
Vejledningen giver en liste over, hvad logs kan omfatte:
- datatrafikken ind og ud
- nye, ændrede og slettede brugere og brugere, der får flere rettigheder
- hvem der logger på systemerne
- alt, hvad administratorer og andre privilegerede konti foretager sig
- hvem der åbner eller retter kritiske opsætningsfiler og backupfiler
- sikkerhedsværktøjernes egne logs
- forbruget af ressourcer som lager og processorkraft
- adgang til routere, switche og andet udstyr i nettet
- dørenes adgangskontrol og andre spor af fysisk adgang
- miljøalarmer, fx ved vand på gulvet
Listen er et “kan”, og ordene ovenfor er en forenkling af vejledningens. Auditor bruger den som tjekliste og spørger, hvilke punkter I har valgt, og hvorfor resten er fravalgt. Det er naturligt, at valget bygger på risikovurderingen.
Anbefalingerne
Vejledningen anbefaler automatiseret monitorering, så vidt det er muligt, og tærskler for, hvornår der gribes ind. Logs bør opbevares og tages backup af i en fastsat periode, der afhænger af forretningsområde og risiko. Tiden bør være synkroniseret, så hændelser kan stykkes sammen på tværs af systemer. Der bør føres en liste over de aktiver, der logges. Logsystemernes egen sikkerhed bør overvåges uafhængigt af det, de overvåger. Procedurerne og loglisten bør gennemgås med planlagte intervaller, og der bør være dokumentation for, at gennemgangen sker.
Vejledningen fastsætter ingen opbevaringsperiode. Jeres egen fastsatte periode bliver derfor målestokken.
Sådan efterprøver auditor punktet
Arbejdsgangen herunder er almindelig auditpraksis.
Listen over logkilder. Auditor beder om listen over de aktiver, der logges, og sammenholder den med aktivregistret. Står der kritiske systemer i registret, som ikke logger? Det hænger sammen med aktivregistret.
Opbevaringen. Auditor beder om jeres fastsatte periode og ser efter, om logs fra begyndelsen af perioden faktisk findes. Er perioden begrundet ud fra risiko?
Beskyttelsen. Hvem kan slette eller ændre logs? Kan en administrator på et system, der logges, også slette dets logs? Overvåges logsystemet selv?
Alarmerne og reaktionen. Auditor beder om et par alarmer fra en periode og følger dem. Hvem så alarmen, hvornår, og hvad blev der gjort? Blev den lukket med en begrundelse? Det er her, kravet om en passende reaktion bliver synligt.
Efterforskningen. Til sidst kan auditor tage en hændelse fra hændelseslisten og spørge, om logs gjorde det muligt at se, hvad der skete. Hvis svaret er nej, er det et fund, uanset hvor lang listen over logkilder er.
Den tekniske del, altså om logkilderne faktisk sender, om tiden er synkroniseret, og om opsætningen er rigtig, er beskrevet under den tekniske gennemgang af logkilder og opsætning.
Krydsreference
Vejledningen henviser under logning til ISO/IEC 27001:2023 A.8.15, A.8.16 og A.8.17.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over logkilder, en fastsat opbevaringsperiode, beskyttelse af logs, regler for alarmer og en person eller leverandør, der reagerer. Bruger I en ekstern overvågningstjeneste til den sidste del, skal aftalen sige, hvad der sker, når en alarm går, og hvem hos jer der bliver kontaktet.
Uden overvågning opdages hændelser sent eller slet ikke, og fristen for tidlig varsling løber fra det øjeblik, I bliver opmærksomme på hændelsen. Uden logs kan I ikke forklare tilsynet, hvad der skete. Ønsker I en uvildig gennemgang af punktet som en del af en NIS2-audit, kan Nielco IT tage den uden forhandleraftaler med leverandører af værktøjer.
Det skal I lade være med
- At logge alt og se på intet · kravet er en passende reaktion på alarmer.
- At lade administratorer kunne slette logs fra egne systemer · logdata skal beskyttes mod manipulation.
- At gætte på opbevaringsperioden · fastsæt den ud fra forretningsområde og risiko, og skriv begrundelsen ned.
Det skal auditten kunne vise
- ☐ En liste over logkilder, holdt op mod aktivregistret og risikovurderingen.
- ☐ En fastsat og begrundet opbevaringsperiode, og logs, der dækker den.
- ☐ Beskyttelse af logs mod sletning og ændring.
- ☐ Alarmer med registreret reaktion og afslutning.
- ☐ Dokumentation for, at procedurerne og loglisten er gennemgået.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 2, afsnit 2.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den seneste alarm fra jeres overvågning, og følg den. Hvem så den, og hvad blev der gjort?
Læs også: Logs og ændringsspor som bevis · Kan I nå 24 timer, 72 timer og en måned?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
