Zenarmor-rapportage als auditbewijs voor NIS2, Cbw en ISO 27001

Voor NIS2, de Cyberbeveiligingswet (sinds 15 augustus 2026 van kracht) en ISO 27001:2022 moet u kunnen aantonen dat u netwerkactiviteit vastlegt, beschermt, analyseert en erop reageert. Dat is de kern van A.8.15 (Logging) en A.8.16 (Monitoring) en de basis om een significant incident binnen 24 uur, 72 uur en één maand te kunnen melden. Zenarmor levert de bouwstenen: meer dan 60 rapporten, alertregels, geplande PDF-rapporten, een audit trail in Zenconsole, lokale opslag in Elasticsearch of SQLite en streaming naar uw SIEM, een syslog-server of een externe Elasticsearch. Bewijs wordt het pas als u per eis vastlegt welke log of welk rapport het aantoont, hoe lang u het bewaart, hoe vaak iemand ernaar kijkt en wie de eigenaar is.

Dit artikel beschrijft wat auditors en toezichthouders willen zien, wat Zenarmor logt, hoe u bewaartermijnen kiest die zowel NIS2 als de AVG overleven, en hoe een compleet evidence pack eruitziet. Secrotec schrijft dit als onafhankelijke ISO 27001 Lead Auditor én officiële Zenarmor-partner in Nederland: wij zien dagelijks het verschil tussen "logging staat aan" en "logging is aantoonbaar effectief".

Wat vragen NIS2, de Cyberbeveiligingswet en ISO 27001?

NIS2 en de Cyberbeveiligingswet

Artikel 21 van de NIS2-richtlijn verplicht essentiële en belangrijke entiteiten tot passende risicobeheersmaatregelen, onder meer voor incidentbehandeling (lid 2 sub b) en het beoordelen van de effectiviteit van maatregelen (lid 2 sub f). Het woord "logging" staat er niet letterlijk in, maar zonder logs kunt u geen incident afhandelen en geen effectiviteit meten. Artikel 23 legt de meldtermijnen vast: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport uiterlijk één maand na de incidentmelding.

Concreter is Uitvoeringsverordening (EU) 2024/2690. Bijlage-onderdeel 3.2 "Monitoring en logging" vraagt procedures en tools om activiteiten op netwerk- en informatiesystemen te monitoren en te loggen, met logs van onder meer in- en uitgaand netwerkverkeer, authenticatie, bevoorrechte toegang, configuratiewijzigingen en securitytools zoals firewalls. Logs moeten voor een vooraf bepaalde periode worden bewaard en geback-upt, beschermd zijn tegen ongeautoriseerde toegang en wijziging, en systemen moeten een gesynchroniseerde tijdbron gebruiken. Die verordening geldt direct voor digitale aanbieders zoals cloud-, datacenter- en managed (security) service providers, maar is voor iedere organisatie een bruikbare maatlat. De NIS2 Technical Implementation Guidance van ENISA (juni 2025) geeft daarbij voorbeelden van bewijsstukken.

In Nederland is NIS2 omgezet in de Cyberbeveiligingswet, die volgens de aankondiging van de Rijksoverheid sinds 15 augustus 2026 geldt. Het NCSC beschrijft de zorgplicht in tien maatregelen, waaronder incidentafhandeling, netwerk- en systeembeveiliging en effectiviteitsmeting. Meer daarover in onze artikelen over de zorgplicht en de meldplicht van de Cbw.

ISO 27001:2022

ISO 27001 is explicieter. De relevante Annex A-beheersmaatregelen in het kort:

Beheersmaatregel	Kern	Wat de auditor vraagt
A.8.15 Logging	Logs van activiteiten, uitzonderingen, fouten en relevante gebeurtenissen aanmaken, opslaan, beschermen en analyseren	Logbeleid, scope, bewaartermijn, bescherming tegen wijziging, aantoonbare reviews
A.8.16 Monitoringactiviteiten	Netwerken en systemen bewaken op afwijkend gedrag en passend reageren	Alertregels, opvolging, koppeling naar incidenten
A.8.17 Kloksynchronisatie	Eenduidige tijdbron voor alle systemen	NTP-configuratie, consistente tijdstempels
A.5.25 Beoordeling van gebeurtenissen	Bepalen of een gebeurtenis een incident is	Triagecriteria, registratie van besluiten
A.5.26 Reactie op incidenten	Incidenten afhandelen volgens procedure	Incidentregistratie met tijdlijn en genomen maatregelen
A.5.28 Verzamelen van bewijsmateriaal	Bewijs identificeren, verzamelen en bewaren	Exports met integriteit en vastgelegde bewaarketen

Wat een auditor of toezichthouder wil zien

Een auditor toetst in drie lagen: de opzet (is er een logbeleid dat past bij de risicoanalyse?), het bestaan (staan logging en alerts echt aan, op de juiste systemen?) en de werking (wordt er aantoonbaar naar gekeken en op gereageerd, over een langere periode?). Op die laatste laag struikelen de meeste organisaties. Een dashboard tonen is niet genoeg; de auditor wil een steekproef zien van alerts die tot een ticket leidden, en een review die met datum en naam is vastgelegd.

Typische vragen die wij als auditor stellen:

• Welke systemen loggen, en waarom juist die? Waar staat dat in uw risicoanalyse?
• Hoe lang bewaart u welke logs, en hoe onderbouwt u die termijn?
• Wie kan logs inzien, wijzigen of verwijderen, en wordt dat zelf gelogd?
• Hoe vaak worden rapporten beoordeeld, en waaruit blijkt dat?
• Welk alert leidde tot welk incident, en hoe snel werd het opgevolgd?
• Kunt u een incident van zes weken geleden reconstrueren?

Wat Zenarmor logt en rapporteert

Zenarmor legt per sessie vast welk apparaat of welke gebruiker met welke bestemming communiceerde, welke applicatie en categorie het betrof en welke policy ingreep. Volgens de documentatie over het streamen van rapportagedata zijn er vijf datastromen: Connections, Web, DNS, TLS en Alerts. Daarop bouwt Zenarmor meer dan 60 rapporten en dashboards, aangevuld met Live Sessions voor realtime inzicht.

• Alertregels: met Threat & Activity Alert Rules krijgt u een melding bij bijvoorbeeld geblokkeerde dreigingen of afwijkende activiteit; sinds versie 2.7 ook met een dagelijkse frequentie.
• Geplande rapporten: volgens de documentatie over scheduled reports worden rapporten als PDF per e-mail verstuurd, via uw eigen SMTP-server of de maildienst van Zenconsole, op de dagen die u kiest. Unified Secure bevat 20 geplande rapporten, de enterprise-plannen een onbeperkt aantal.
• Audit trail in Zenconsole: sinds versie 2.6 (juni 2026) wordt elke actie van een Zenconsole-gebruiker gelogd, zoals policy-updates, configuratiewijzigingen en het toevoegen of verwijderen van Zenarmor-instanties. Versie 2.7 voegde auditlogs toe voor endpoint-agents en OPNsense-gateways, onder meer voor in- en uitloggen, wijzigingen in de engine-status en updates (release notes).

Die audit trail is in audits goud waard: ze beantwoordt in één scherm de vraag wie wanneer welke firewallregel heeft aangepast, iets wat bij ISO 27001 ook raakt aan wijzigingsbeheer (A.8.32) en bevoorrechte toegang (A.8.2).

Opslag en bewaartermijn: lokaal, cloud of SIEM

Waar uw logs staan, bepaalt hoe lang u terug kunt kijken en hoe goed ze beschermd zijn. Zenarmor ondersteunt meerdere opties, die u kunt combineren:

Optie	Waar	Bewaartermijn	Geschikt voor
SQLite (lokaal)	Op de gateway	Instelbaar, beperkt door schijfruimte	Kleine omgevingen tot circa 100 apparaten
Elasticsearch (lokaal)	Op de gateway, minimaal 8 GB RAM	Instelbaar, beperkt door schijfruimte	Grotere netwerken met langere lokale historie
Elasticsearch (remote)	Uw eigen server of cluster	Volgens uw eigen beleid	Centrale opslag buiten de gateway
Streaming naar syslog/SIEM	Syslog-server, SIEM (bijv. Wazuh), externe Elasticsearch	Volgens uw eigen beleid, maanden tot jaren	Langetermijnbewijs, correlatie, SOC
Zenconsole cloud reporting	Zenarmor-cloud, regio kiesbaar (o.a. Nederland en Duitsland)	15 dagen (Unified Secure), 30 (Plus), 90 (SSE/ZTNA/SASE)	Centraal overzicht over locaties heen

De keuze tussen SQLite en Elasticsearch staat in de documentatie over de rapportagedatabase; de retentie per plan op de plannenpagina (status oktober 2026). Let op: de lokale opslagduur staat volgens de Zenarmor-documentatie standaard op 7 dagen en is met een schuifregelaar aan te passen. Streaming naar externe systemen is niet beschikbaar in de Free- en Home-edities.

Waarom 15 dagen vaak te kort is

Volgens M-Trends 2025 van Mandiant was de wereldwijde mediane dwell time 11 dagen, en 26 dagen wanneer een externe partij de organisatie waarschuwde. Wie pas na drie weken ontdekt dat er iets mis is, heeft met 15 dagen retentie het begin van de aanval al kwijt. Daar komt bij dat het eindrapport onder NIS2 en de Cbw een volledige tijdlijn vraagt. Onze vuistregel: gebruik de cloud- of lokale rapportage voor de dagelijkse operatie en stream security-relevante logs naar een SIEM of syslog-server met een termijn die u uit uw risicoanalyse afleidt, in de praktijk vaak 6 tot 12 maanden.

Over datalocatie: sinds Zenarmor 2.7 kiest u de regio van de centrale rapportagedatabase, onder meer Nederland en Duitsland. Op de plannenpagina staat "customizable data residency" bij de enterprise-plannen op aanvraag; laat bij de offerte bevestigen welke regio voor uw plan geldt.

Bewaartermijnen en de AVG

Firewall-logs bevatten persoonsgegevens: IP-adressen, gebruikersnamen, bezochte domeinen. De AVG noemt geen vaste termijn, maar vraagt doelbinding en opslagbeperking (artikel 5) en passende beveiliging (artikel 32). Spanning met NIS2 is er dus niet zozeer in de termijn zelf, maar in de onderbouwing. Praktisch:

• Differentieer per logsoort. Alerts en geblokkeerde dreigingen hebben langere bewijswaarde dan gedetailleerde web- en DNS-logs per gebruiker.
• Leg de termijnen vast in uw logbeleid en het verwerkingsregister, met de reden per termijn.
• Beperk toegang tot logs tot wie ze nodig heeft, en log die toegang zelf.
• Gebruik logs niet voor prestatiebeoordeling. Doet u dat wel, dan verandert het doel en raakt u aan het instemmingsrecht van de OR (artikel 27 WOR). In ons artikel over TLS-inspectie en de AVG leest u hoe u dat afbakent.

Meer over de samenhang tussen privacy en informatiebeveiliging leest u in AVG en ISO 27001 samen.

Het evidence pack: van eis naar rapport

Een evidence pack koppelt elke eis aan een concreet bewijsstuk, een frequentie en een eigenaar. Onderstaande tabel is het startpunt dat wij bij klanten gebruiken; pas hem aan op uw risicoanalyse en Statement of Applicability.

Eis	Zenarmor-rapport of -log	Frequentie	Eigenaar
ISO A.8.15, Uitv.verordening 2024/2690 § 3.2	Logbeleid plus export van retentie- en streaminginstellingen	Jaarlijks en bij wijziging	CISO / ISMS-eigenaar
ISO A.8.16, NIS2 art. 21 lid 2 sub b	Threat & Activity Alert Rules en alertoverzicht	Dagelijks alerts, wekelijkse review	IT-beheer / SOC
ISO A.8.7, A.8.23	Gepland PDF-rapport geblokkeerde dreigingen en webcategorieën	Wekelijks of maandelijks	IT-beheer
ISO A.8.20, A.8.22	Rapport verkeer per interface/VLAN en policy per segment	Maandelijks	Netwerkbeheer
ISO A.8.32, A.8.9	Audit trail Zenconsole: policy- en configuratiewijzigingen	Maandelijkse review	CISO
ISO A.8.2	Auditlogs gateways: beheerdersaanmeldingen	Maandelijks	CISO
ISO A.5.25, A.5.26, A.5.28	Incidentdossier met gekoppelde alerts en logexports	Per incident	Incidentmanager
NIS2 art. 23, Cbw-meldplicht	Tijdlijn uit logs: detectie, omvang, maatregelen	Per significant incident: 24 uur, 72 uur, 1 maand	Incidentmanager en bestuur
ISO A.8.17	NTP-instellingen gateway en SIEM	Jaarlijks	IT-beheer
NIS2 art. 21 lid 2 sub f, ISO 9.1 en 9.3	KPI-overzicht: blocks, alerts, opvolgtijd, trends	Per kwartaal	CISO, naar directie

Bewaar het pack op een vaste plek met versiebeheer. Een auditor die in tien minuten een jaar aan reviews kan doorbladeren, stelt minder vervolgvragen.

Incidentworkflow: van alert tot melding

Checklist voor de inrichting

• Tijdsynchronisatie (NTP) op gateway, SIEM en servers ingesteld en gecontroleerd.
• Beheerdersaccounts persoonlijk, met MFA en minimale rechten in Zenconsole.
• Retentie lokaal en in de cloud bewust ingesteld, niet op de standaardwaarde gelaten.
• Streaming naar SIEM of syslog geconfigureerd én getest, met bescherming tegen wijziging.
• Geplande rapporten naar een gedeelde mailbox met eigen bewaartermijn.
• Periodieke review ingepland en vastgelegd met datum, naam en bevindingen.
• Alertregels afgestemd op uw risico's, zodat belangrijke meldingen niet in ruis verdwijnen.

Zenarmor ondersteunt deze eisen; compliant wordt u door het geheel van beleid, processen en aantoonbare werking. Logging die netwerksegmenten afdekt, versterkt bovendien uw netwerksegmentatie voor NIS2 en ISO 27001.

Hoe Secrotec helpt

Secrotec is onafhankelijk ISO 27001 Lead Auditor én officiële Zenarmor-partner in Nederland, vermeld op de partnerpagina van Zenarmor. Wij leveren Zenarmor-licenties en -projecten in heel Europa en richten Zenarmor zo in dat het precies het bewijs oplevert dat een auditor of toezichthouder vraagt.

• Wij stellen samen met u het logbeleid en de bewaartermijnen op, onderbouwd vanuit risico en AVG.
• Wij configureren rapportage, alertregels, geplande rapporten en streaming naar uw SIEM of syslog.
• Wij bouwen het evidence pack, gekoppeld aan ISO 27001 Annex A, de Cbw-zorgplicht en NIS2 artikel 21 en 23.
• Met Zenconsole centraal beheer bewaakt u meerdere locaties vanuit één audit trail.
• U ontvangt partnerkorting op de licenties; de prijs is in Zenarmor-projecten altijd bespreekbaar.

Bekijk onze pagina Zenarmor-partner in Nederland, laat uw stand van zaken toetsen met een NIS2 gap-analyse of ga naar het overzicht Firewall & Networks.