Les rapports Zenarmor comme preuves d'audit pour NIS2 et ISO 27001

Pour NIS2 et ISO 27001:2022, vous devez démontrer que vous enregistrez, protégez, analysez et traitez l'activité réseau. C'est le cœur des mesures A.8.15 (Journalisation) et A.8.16 (Activités de surveillance), et la condition pour notifier un incident important dans les délais de 24 heures, 72 heures et un mois. Zenarmor fournit les briques : plus de 60 rapports, des règles d'alerte, des rapports PDF planifiés, une piste d'audit dans Zenconsole, un stockage local dans Elasticsearch ou SQLite et l'envoi en continu vers votre SIEM, un serveur syslog ou un Elasticsearch distant. Cela ne devient une preuve que si vous définissez, pour chaque exigence, quel journal ou rapport la démontre, combien de temps vous le conservez, à quelle fréquence quelqu'un l'examine et qui en est responsable.

Cet article détaille ce qu'attendent auditeurs et autorités, ce que Zenarmor journalise, comment choisir des durées de conservation compatibles avec NIS2 et le RGPD, et à quoi ressemble un dossier de preuves complet. Secrotec l'écrit en tant que Lead Auditor ISO 27001 indépendant et partenaire officiel Zenarmor aux Pays-Bas : nous voyons chaque jour la différence entre « la journalisation est activée » et « la journalisation est démontrablement efficace ».

Ce qu'exigent NIS2 et ISO 27001

La directive NIS2 : articles 21 et 23

L'article 21 de la directive NIS2 impose aux entités essentielles et importantes des mesures de gestion des risques appropriées, notamment la gestion des incidents (paragraphe 2, point b) et des politiques d'évaluation de l'efficacité de ces mesures (point f). Le mot « journalisation » n'y figure pas en tant que tel, mais sans journaux, impossible de gérer un incident ou de mesurer l'efficacité. L'article 23 fixe les délais : alerte précoce sous 24 heures, notification d'incident sous 72 heures, rapport final au plus tard un mois après la notification.

Le règlement d'exécution (UE) 2024/2690 est plus précis. Le point 3.2 de son annexe, « Surveillance et journalisation », exige des procédures et des outils pour surveiller et journaliser l'activité des réseaux et systèmes d'information, avec des journaux couvrant notamment le trafic entrant et sortant, l'authentification, les accès privilégiés, les modifications de configuration et les outils de sécurité comme les pare-feu. Les journaux doivent être conservés et sauvegardés pendant une durée prédéfinie, protégés contre tout accès ou modification non autorisés, et les systèmes doivent utiliser des sources de temps synchronisées. Ce règlement s'applique directement aux fournisseurs numériques (cloud, centres de données, services gérés et services de sécurité gérés, etc.), mais constitue une bonne référence pour toute organisation. Le guide technique de mise en œuvre NIS2 de l'ENISA (juin 2025) donne en outre des exemples de preuves.

En France

En France, la transposition de NIS2 passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Vérifiez l'état d'avancement du texte, les référentiels et l'outil MonEspaceNIS2 sur la page NIS2 de l'ANSSI. Quel que soit le calendrier national, les exigences de fond de la directive restent celles décrites ci-dessus. Notre page conformité NIS2 présente l'ensemble des obligations.

ISO 27001:2022

ISO 27001 est plus explicite. Les mesures pertinentes de l'annexe A en bref :

Mesure	Essentiel	Ce que demande l'auditeur
A.8.15 Journalisation	Produire, stocker, protéger et analyser des journaux d'activités, d'exceptions, de défaillances et d'événements pertinents	Politique de journalisation, périmètre, conservation, protection contre l'altération, revues documentées
A.8.16 Activités de surveillance	Surveiller réseaux et systèmes pour détecter les comportements anormaux et réagir	Règles d'alerte, suivi, lien avec les incidents
A.8.17 Synchronisation des horloges	Une source de temps fiable pour tous les systèmes	Configuration NTP, horodatages cohérents
A.5.25 Appréciation des événements	Décider si un événement est un incident	Critères de tri, décisions consignées
A.5.26 Réponse aux incidents	Traiter les incidents selon une procédure	Fiches d'incident avec chronologie et actions
A.5.28 Collecte des preuves	Identifier, collecter et conserver les preuves	Exports intègres et chaîne de conservation consignée

Ce que veulent voir l'auditeur et l'autorité

Un auditeur examine trois niveaux : la conception (existe-t-il une politique de journalisation cohérente avec l'analyse de risques ?), la mise en œuvre (journalisation et alertes sont-elles réellement actives sur les bons systèmes ?) et l'efficacité (y a-t-il des revues et des réactions démontrables sur une période significative ?). C'est sur ce dernier niveau que la plupart des organisations trébuchent. Montrer un tableau de bord ne suffit pas : l'auditeur veut un échantillon d'alertes ayant donné lieu à un ticket, et des revues datées et signées.

Questions typiques que nous posons en tant qu'auditeurs :

• Quels systèmes journalisent, et pourquoi ceux-là ? Où est-ce justifié dans l'analyse de risques ?
• Combien de temps conservez-vous quels journaux, et comment justifiez-vous cette durée ?
• Qui peut consulter, modifier ou supprimer les journaux, et cela est-il lui-même journalisé ?
• À quelle fréquence les rapports sont-ils examinés, et où en est la trace ?
• Quelle alerte a conduit à quel incident, et en combien de temps ?
• Pouvez-vous reconstituer un incident survenu il y a six semaines ?

Ce que Zenarmor journalise et restitue

Zenarmor enregistre, pour chaque session, quel appareil ou utilisateur a communiqué avec quelle destination, quelle application et catégorie étaient en jeu et quelle politique s'est appliquée. Selon la documentation sur l'envoi des données de reporting, il existe cinq flux : Connections, Web, DNS, TLS et Alerts. Zenarmor en tire plus de 60 rapports et tableaux de bord, complétés par Live Sessions pour le temps réel.

• Règles d'alerte : les Threat & Activity Alert Rules signalent par exemple les menaces bloquées ou une activité inhabituelle ; depuis la version 2.7, également à fréquence quotidienne.
• Rapports planifiés : selon la documentation sur les rapports planifiés, les rapports sont envoyés en PDF par e-mail, via votre propre serveur SMTP ou le service de messagerie de Zenconsole, les jours de votre choix. Unified Secure inclut 20 rapports planifiés, les offres entreprise un nombre illimité.
• Piste d'audit dans Zenconsole : depuis la version 2.6 (juin 2026), chaque action d'un utilisateur Zenconsole est journalisée, comme les mises à jour de politiques, les modifications de configuration et l'ajout ou la suppression d'instances Zenarmor. La version 2.7 a ajouté des journaux d'audit pour les agents endpoint et les passerelles OPNsense, couvrant notamment connexions et déconnexions, changements d'état du moteur et mises à jour (notes de version).

Cette piste d'audit est précieuse en audit : elle montre en un écran qui a modifié quelle règle de pare-feu et quand, ce qui touche aussi, dans ISO 27001, la gestion des changements (A.8.32) et les droits d'accès privilégiés (A.8.2).

Stockage et conservation : local, cloud ou SIEM

L'emplacement de vos journaux détermine jusqu'où vous pouvez remonter et leur niveau de protection. Zenarmor prend en charge plusieurs options combinables :

Option	Emplacement	Conservation	Adapté à
SQLite (local)	Sur la passerelle	Paramétrable, limitée par l'espace disque	Petits environnements, jusqu'à environ 100 appareils
Elasticsearch (local)	Sur la passerelle, 8 Go de RAM minimum	Paramétrable, limitée par l'espace disque	Réseaux plus grands avec historique local plus long
Elasticsearch (distant)	Votre propre serveur ou cluster	Selon votre politique	Stockage central hors de la passerelle
Envoi vers syslog/SIEM	Serveur syslog, SIEM (par ex. Wazuh), Elasticsearch externe	Selon votre politique, de mois à années	Preuves à long terme, corrélation, SOC
Reporting cloud Zenconsole	Cloud Zenarmor, région au choix (dont Pays-Bas et Allemagne)	15 jours (Unified Secure), 30 (Plus), 90 (SSE/ZTNA/SASE)	Vue centralisée multisite

Le choix entre SQLite et Elasticsearch est décrit dans la documentation Zenarmor sur la base de reporting ; la conservation par offre figure sur la page des offres (état octobre 2026). Attention : selon la documentation Zenarmor, la durée de stockage locale est par défaut de 7 jours et se règle par un curseur. L'envoi vers des systèmes externes n'est pas disponible dans les éditions Free et Home.

Pourquoi 15 jours sont souvent insuffisants

Selon M-Trends 2025 de Mandiant, le temps de présence médian des attaquants était de 11 jours au niveau mondial, et de 26 jours lorsqu'un tiers externe alertait l'organisation. Si vous découvrez un problème au bout de trois semaines, une conservation de 15 jours signifie que le début de l'attaque a déjà disparu. Le rapport final NIS2 exige en outre une chronologie complète. Notre règle empirique : utiliser le reporting cloud ou local pour l'exploitation quotidienne, et envoyer les journaux de sécurité vers un SIEM ou un serveur syslog avec une durée issue de votre analyse de risques.

Localisation des données : depuis Zenarmor 2.7, vous choisissez la région de la base de reporting centrale, dont les Pays-Bas et l'Allemagne. La page des offres mentionne une « customizable data residency » pour les offres entreprise, sur demande ; faites confirmer la région applicable à votre offre dans le devis.

Durées de conservation et RGPD

Les journaux de pare-feu contiennent des données personnelles : adresses IP, identifiants, domaines consultés. Le RGPD ne fixe pas de durée, mais impose limitation des finalités et de la conservation (article 5) et sécurité appropriée (article 32). La CNIL donne des repères utiles : dans sa recommandation relative aux mesures de journalisation (novembre 2021), elle préconise en principe une durée de six mois à un an et une analyse automatique des journaux ; pour le contrôle de l'utilisation d'internet par les salariés, elle indique que les journaux de connexion ne devraient pas être conservés plus de 6 mois. En pratique :

• Différenciez par type de journal. Les alertes et menaces bloquées ont une valeur probante plus longue que les journaux web et DNS détaillés par utilisateur.
• Documentez les durées dans votre politique de journalisation et votre registre des traitements, avec une justification pour chacune.
• Limitez l'accès aux journaux aux personnes qui en ont besoin, et journalisez cet accès.
• N'utilisez pas les journaux pour évaluer les salariés. Sinon la finalité change et l'information-consultation du CSE (article L2312-38 du Code du travail) s'impose. Notre article sur l'inspection TLS, le RGPD et le CSE explique comment tracer cette limite.

Pour aller plus loin sur l'articulation entre vie privée et sécurité : RGPD et ISO 27001.

Le dossier de preuves : de l'exigence au rapport

Un dossier de preuves relie chaque exigence à une preuve concrète, une fréquence et un responsable. Le tableau ci-dessous est notre point de départ chez nos clients ; adaptez-le à votre analyse de risques et à votre déclaration d'applicabilité (SoA).

Exigence	Rapport ou journal Zenarmor	Fréquence	Responsable
ISO A.8.15, règl. 2024/2690 point 3.2	Politique de journalisation et export des paramètres de conservation et d'envoi	Annuelle et à chaque changement	RSSI / responsable SMSI
ISO A.8.16, NIS2 art. 21 § 2 b	Threat & Activity Alert Rules et synthèse des alertes	Alertes quotidiennes, revue hebdomadaire	Exploitation IT / SOC
ISO A.8.7, A.8.23	Rapport PDF planifié des menaces bloquées et catégories web	Hebdomadaire ou mensuelle	Exploitation IT
ISO A.8.20, A.8.22	Rapport de trafic par interface/VLAN et politique par segment	Mensuelle	Équipe réseau
ISO A.8.32, A.8.9	Piste d'audit Zenconsole : modifications de politiques et de configuration	Revue mensuelle	RSSI
ISO A.8.2	Journaux d'audit des passerelles : connexions administrateur	Mensuelle	RSSI
ISO A.5.25, A.5.26, A.5.28	Dossier d'incident avec alertes liées et exports de journaux	Par incident	Responsable incidents
NIS2 art. 23	Chronologie issue des journaux : détection, ampleur, mesures	Par incident important : 24 h, 72 h, 1 mois	Responsable incidents et direction
ISO A.8.17	Paramètres NTP de la passerelle et du SIEM	Annuelle	Exploitation IT
NIS2 art. 21 § 2 f, ISO 9.1 et 9.3	Indicateurs : blocages, alertes, délai de traitement, tendances	Trimestrielle	RSSI, vers la direction

Conservez le dossier à un emplacement unique, versionné. Un auditeur qui parcourt une année de revues en dix minutes pose moins de questions complémentaires.

Processus d'incident : de l'alerte à la notification

Liste de contrôle de la configuration

• Synchronisation horaire (NTP) configurée et vérifiée sur la passerelle, le SIEM et les serveurs.
• Comptes administrateurs nominatifs, avec MFA et moindre privilège dans Zenconsole.
• Conservation locale et cloud réglée délibérément, pas laissée à la valeur par défaut.
• Envoi vers SIEM ou syslog configuré et testé, avec protection contre l'altération.
• Rapports planifiés envoyés vers une boîte partagée avec sa propre durée de conservation.
• Revues périodiques planifiées et consignées (date, nom, constats).
• Règles d'alerte ajustées à vos risques, pour que les signaux importants ne se perdent pas dans le bruit.

Zenarmor soutient ces exigences ; la conformité résulte de l'ensemble formé par la politique, les processus et la preuve de fonctionnement. Une journalisation couvrant vos segments réseau renforce aussi votre segmentation réseau pour NIS2 et ISO 27001.

Comment Secrotec vous aide

Secrotec est Lead Auditor ISO 27001 indépendant et partenaire officiel Zenarmor aux Pays-Bas, référencé sur la page partenaires de Zenarmor. Nous livrons des licences et des projets Zenarmor dans toute l'Europe et configurons Zenarmor pour produire exactement les preuves qu'un auditeur ou une autorité demande.

• Nous rédigeons avec vous la politique de journalisation et les durées de conservation, justifiées par les risques et le RGPD.
• Nous configurons reporting, règles d'alerte, rapports planifiés et envoi vers votre SIEM ou syslog.
• Nous construisons le dossier de preuves, rattaché à l'annexe A d'ISO 27001 et aux articles 21 et 23 de NIS2.
• Avec la gestion centralisée Zenconsole, vous supervisez plusieurs sites depuis une seule piste d'audit.
• Vous bénéficiez d'une remise partenaire sur les licences ; le prix est toujours négociable dans les projets Zenarmor.

Consultez notre page partenaire Zenarmor, découvrez comment ISO 27001 et NIS2 s'articulent, ou revenez à la vue d'ensemble Pare-feu & réseaux.