NIS 2 logging and monitoring under Article 21(2)(b)
Logging is de zichtbaarheidslaag van incidentafhandeling. Artikel 21(2)(b) is waar de plicht staat en Duitsland neemt hem over in §30(2)(2) BSIG. Voor de digitale aanbieders die het dekt, noemt CIR punt 3.2 twaalf soorten gebeurtenissen en de operationele regels.
The short version
Logging and monitoring are not a separate duty under NIS 2. They sit inside the incident-handling measure of Article 21(2)(b). The logic is simple: if you cannot see what is happening on your network, you cannot detect a security incident, and you cannot contain it.
CIR (EU) 2024/2690 punt 3.2 vult de details in voor de digitale aanbieders die in Art. 1 CIR zijn genoemd (DNS, TLD, cloud, datacenters, CDN's, MSP's, MSSP's, online marktplaatsen, zoekmachines, sociale netwerken, vertrouwensdiensten). Waar passend omvatten logs twaalf soorten gebeurtenissen; de entiteit stelt alarmdrempels en een eigen bewaartermijn vast, houdt tijdbronnen gesynchroniseerd en voert monitoring redundant uit. Voor andere entiteiten is dit detail geen wettelijke plicht; in Duitsland moeten alleen exploitanten van kritieke installaties systemen voor aanvalsdetectie inzetten (§ 31 Abs. 2 BSIG).
Duitsland neemt de maatregel over in §30(2)(2) BSIG. IT-Grundschutz biedt OPS.1.1.5 'Protokollierung' en DER.1 'Detektion' als bouwstenen; het zijn aanbevelingen, geen wettelijke basis. Deze pagina loopt de richtlijn, de EU-uitvoeringsverordening en de Duitse omzetting in die volgorde door.
Article 21(2)(b) NIS 2 Directive (2022/2555)
Incidentenbehandeling.
This is point (b) on the list of ten cybersecurity measures every essential and important entity has to put in place. CIR §3 then operationalises it. Logging and monitoring sit inside §3.2.
CIR (EU) 2024/2690, Annex §3.2.1
De relevante entiteiten stellen procedures vast en gebruiken instrumenten om activiteiten in hun netwerk- en informatiesystemen te monitoren en te registreren om gebeurtenissen op te sporen die als incidenten kunnen worden beschouwd, en reageren dienovereenkomstig om de gevolgen te beperken.
Omdat dit een verordening is (geen richtlijn), is het rechtstreeks bindend EU-recht voor de entiteitstypen die in Art. 1 zijn genoemd (DNS, TLD, cloud, datacenters, CDN's, MSP's, MSSP's, online marktplaatsen, zoekmachines, sociale netwerken, vertrouwensdiensten). Punt 3.2 valt dan uiteen in zeven subpunten over de te loggen soorten gebeurtenissen, alarmering, bewaartermijn, tijdsynchronisatie en redundantie. Geen nationale omzetting nodig.
§30(2)(2) BSIG (Germany)
Incidentenbehandeling.
Duitsland neemt de EU-tekst woordelijk over. IT-Grundschutz biedt OPS.1.1.5 'Protokollierung' en DER.1 'Detektion von sicherheitsrelevanten Ereignissen' als bouwstenen; het zijn aanbevelingen, geen wettelijke basis.
Log the twelve event types
Stel de lijst van te loggen assets samen op basis van uw risicobeoordeling. Leg waar passend vast: inkomend en uitgaand netwerkverkeer, wijzigingen van gebruikers en bevoegdheden, toegang tot systemen en applicaties, authenticatiegebeurtenissen, alle geprivilegieerde en beheerdersactiviteit, toegang tot kritieke configuratie- of back-upbestanden, logs van beveiligingstools (AV, IDS, firewall), gebruik van systeemresources, fysieke toegang, gebruik van netwerkapparatuur, activering of pauzering van de logs zelf, en omgevingsgebeurtenissen.
Review, alarm, qualified response
Collecting logs is not enough. Check them on a regular cadence for unusual or unwanted trends. Where appropriate set thresholds. When a threshold is exceeded, fire an automated alarm. And make sure someone qualified actually responds in time. Storage without review is not logging under §3.2.
Protect, retain, time-sync, redundant
Logs themselves are evidence. Keep them for a defined retention period, protect them from unauthorised access and changes, time-synchronise all systems so events can be correlated, and run the monitoring system redundantly. The monitoring of the monitoring system is itself independent of the systems it monitors.
Logs are an asset, not a by-product
Punt 3.2.5 behandelt logs als kritieke gegevens. Een vastgestelde bewaartermijn, bescherming tegen manipulatie, bescherming tegen onbevoegde toegang. Als een aanvaller de logs kan verwijderen die laten zien wat hij heeft gedaan, is de logplicht niet nagekomen. Daarom noemt punt 3.2.3(k) ook de 'activering, beëindiging en pauzering van de verschillende logs' als iets om te loggen.
Logs beoordelen is de kern, geen nice-to-have
Voor de digitale aanbieders die de CIR dekt, vraagt punt 3.2.4 om regelmatige controles op ongebruikelijke trends, waar passend drempelwaarden, geautomatiseerde alarmen bij overschrijding van een drempel en een tijdige gekwalificeerde reactie. Een SIEM waar niemand naar kijkt, voldoet hier niet aan. Houd vast wie welke alerts wanneer heeft beoordeeld en wat men ermee heeft gedaan.
BSI / IT-Grundschutz OPS.1.1.5 + DER.1
IT-Grundschutz biedt OPS.1.1.5 'Protokollierung' (wat te loggen, bewaartermijn, bescherming) en DER.1 'Detektion von sicherheitsrelevanten Ereignissen' (alarmering en reactie) als bouwstenen; het zijn aanbevelingen, geen wettelijke basis.
ENISA Technical Implementation Guidance
De TIG van ENISA geeft richtlijnen en bewijsvoorbeelden voor punt 3.2, waaronder voorbeelden van alarmdrempels, en stelt dat de bewaartermijn wordt bepaald op basis van bedrijfsbehoeften, de risicobeoordeling en wettelijke vereisten. De mappingtabel koppelt 3.2 aan ISO/IEC 27001:2022 A.5.28, A.8.15, A.8.16 en A.8.17; ENISA benadrukt dat de mapping geen maatstaf voor gelijkwaardigheid is.
National transposition laws
Elke lidstaat heeft een eigen omzettingswet (Nederland: Cyberbeveiligingswet; Oostenrijk: NISG 2026; België: zijn NIS2-wet). Punt 3.2 CIR is in elke lidstaat rechtstreeks van toepassing, maar alleen op de digitale aanbieders die in Art. 1 CIR zijn genoemd. Wat verschilt: met welke nationale autoriteit u te maken hebt en hoe melding en toezicht lokaal worden ingericht.
We keep all logs forever, so we are covered.
Voor de digitale aanbieders die de CIR dekt, vraagt punt 3.2.5 om een vooraf vastgestelde bewaartermijn, geen oneindige. Voor iedereen geldt: alles eeuwig bewaren is een gegevensbeschermingsprobleem (Art. 5(1)(e) AVG, opslagbeperking) en een kostenprobleem. Bepaal per logtype een bewaartermijn, leg die vast, onderbouw haar met uw risicobeeld en houd u eraan.
The SIEM has it, so we are fine.
Bijna, maar niet helemaal. Voor de digitale aanbieders die de CIR dekt, vraagt punt 3.2.4 niet alleen om opslag. Het vraagt om regelmatige beoordeling, waar passend drempelwaarden, geautomatiseerde alarmen bij overschrijding en een gekwalificeerd persoon die daadwerkelijk reageert. Een SIEM dat draait zonder regels, of met regels die niemand afstemt, voldoet niet aan §3.2.4.
We log user activity but not admin activity.
Voor de digitale aanbieders die de CIR dekt, is punt 3.2.3(e) expliciet: alle geprivilegieerde toegang tot systemen en applicaties plus activiteiten van beheerdersaccounts. Beheerders zijn de gebruikers met de grootste impact op uw netwerk, dus hun activiteit hoort in de logs.
De goedkoopste start: stel de lijst van te loggen assets samen op basis van uw risicobeoordeling, stuur de logs naar één plek (een centrale logopslag of een klein SIEM), stel drempels in op de gebeurtenissen die er het meest toe doen en beoordeel ze regelmatig. U hebt op dag één geen managed SOC nodig. U hebt iemand nodig die naar de alerts kijkt en weet wat te doen.
- Directive (EU) 2022/2555 (NIS 2), Article 21(2)(b): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Commission Implementing Regulation (EU) 2024/2690 (CIR), Annex §3.2: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSI Act (BSIG), §30(2)(2) as amended by the NIS2 Implementation and Cybersecurity Strengthening Act
- IT-Grundschutz Kompendium, OPS.1.1.5 'Protokollierung' and DER.1 'Detektion': bsi.bund.de/grundschutz
- ENISA Technical Implementation Guidance for CIR (EU) 2024/2690 (versie 1.0, juni 2025)
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
