Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, de Nederlandse implementatie van NIS2. De Eerste Kamer stemde op 7 juli in, geen stip op de horizon meer, maar een datum in je agenda. Dit artikel gaat over één onderdeel: logging en monitoring. Welke bronnen je op orde moet hebben, wat de wet wel en niet zegt over bewaartermijnen, en hoe je aantoont dat het werkt. Of jouw organisatie onder de wet valt, lees je in onze pijlerblog over de Cyber Security Assessment-keten
Wat de wet wel zegt over logging, en wat niet
NIS2 noemt logging in artikel 21 als onderdeel van de zorgplicht: maatregelen om incidenten te detecteren en af te handelen, inclusief registratie van gebeurtenissen. Een bewaartermijn schrijft de wet niet voor: nergens staat zes maanden, nergens twee jaar. Ook het Cyberbeveiligingsbesluit en de ministeriële regelingen per sector geven op dit moment geen vaste termijn voor alle logdata.
Iedere partij die je nu een hard getal belooft, verzint dat getal. Wat de wet wel vraagt: dat je incidenten kunt detecteren, onderzoeken en op tijd melden, en daar kun je je termijnen op bouwen.
Checklist: de negen logbronnen die je op orde moet hebben
- Authenticatie en autorisatie. Wie logt waar in, en waar mislukt dat opvallend vaak? Dit is de bron waar vrijwel elk onderzoek begint.
- Netwerkverkeer op de perimeter. Firewall, VPN en proxy laten zien wat er de organisatie in en uit gaat.
- Endpoint-detectie. EDR-telemetrie van werkplekken en servers, waar de meeste aanvallen zichtbaar worden.
- Configuratiewijzigingen. Wie zette welke regel uit, en wanneer? Zonder deze bron is elk incidentonderzoek giswerk.
- Privileged sessies. Beheerdersaccounts en service-accounts kunnen het meest, dus verdienen het meeste zicht.
- Het cloud control plane. AWS CloudTrail, Azure Activity Log en vergelijkbare audit-logs: wie deed wat met je cloudomgeving zelf.
- Back-up en restore. Draaide de back-up, en is een restore ooit echt getest? Bij ransomware is dit de bron die telt.
- OT-assets, indien van toepassing. Industriële systemen vallen ook onder je zorgplicht; beschikbaarheid en afwijkend gedrag zijn daar de signalen.
- De logging van je logging. De gezondheid van je logpijplijn zelf: welke bron is stilgevallen, waar loopt vertraging op? Vrijwel iedereen vergeet deze, en het is precies de bron waarmee je de andere acht bewaakt.
Hoe je bewaartermijnen bepaalt zonder dat de wet ze geeft
Bepaal de termijn per logbron, op basis van drie vragen: hoe lang duurt het voordat je een incident ontdekt, hoe lang heb je nodig om het te onderzoeken, en wat moet je kunnen melden? De meldplicht is streng: binnen 24 uur moet bij een significant incident een vroegtijdige waarschuwing de deur uit. En een aanvaller die vier maanden onopgemerkt binnen is, is geen uitzondering, bewaar je logs dertig dagen, dan valt er bij ontdekking niets meer te onderzoeken.
Lange termijnen hoeven niet duur te zijn: houd recente data hot (direct doorzoekbaar, prijzig) voor detectie en verhuis oudere data naar cold of archive storage (traag, goedkoop). Een pipeline-laag maakt dat onderscheid praktisch uitvoerbaar; hoe je zo je logvolume beheersbaar houdt, lees je in ons artikel over telemetry pipelines.
Aantoonbaarheid: opzet, bestaan en werking
Een toezichthouder vraagt niet óf je logt, maar of je kunt aantonen dat de maatregel is opgezet, bestaat en werkt. Drie woorden, drie artefacten.
- Opzet: een gedocumenteerde logstrategie. Welke bronnen, waarom, met welke termijn.
- Bestaan: bewijs dat de bronnen daadwerkelijk aanleveren, dus monitoring op de pijplijn zelf.
- Werking: periodieke rapportage die over een langere periode laat zien dat het geheel functioneert: dekking, uitval, opvolging.
Die derde is in de praktijk de lastigste, omdat je haar niet achteraf kunt reconstrueren. Bij SMT is dat daarom standaard onderdeel van elke Managed Service: vaste rapportage met KPI’s, trends en bevindingen, zodat het bewijs er ligt op het moment dat iemand erom vraagt.
Waar organisaties in de praktijk op stuklopen
- Logbronnen die stilletjes stoppen met aanleveren. Een certificaat verloopt, een agent crasht, en niemand merkt het tot het onderzoek begint.
- Tijdsynchronisatie die niet klopt. Loopt de klok van je firewall drie minuten voor op die van je servers, dan valt er niets meer te correleren.
- Logvolume dat het budget opeet. Waarna bronnen worden uitgezet om kosten te drukken. Dat is de gevaarlijkste bezuiniging die er is: je bespaart op precies het zicht dat de wet van je vraagt.
- Geen eigenaar. Logging is van iedereen een beetje en dus van niemand. Zonder eigenaar verzandt elke goede opzet binnen een jaar.
De derde valkuil is geen natuurwet: wie data filtert voordat die het dure platform bereikt, houdt volume en budget in de hand zonder bronnen op te offeren. De actuele stand van de wet vind je op ncsc.nl.
