La cabecera de los sucesos contiene la siguiente información:
Fecha - Día en el que se produjo el suceso.
Hora - Hora a la que se produjo.
Origen - Módulo de software que registró el suceso, que puede ser un nombre de aplicación, o bien un componente del sistema o de una aplicación de gran tamaño, por ejemplo, un nombre de servicio.
Categoría - Clasificación del suceso por su origen. Esta información se utiliza principalmente en el registro de seguridad.
Suceso - Número que identifica cada tipo de suceso en particular. La primera línea de la descripción contiene normalmente el nombre del tipo de suceso. Por ejemplo, 6005 es el ID del suceso que tiene lugar cuando se inicia el servicio de registro. La primera línea de descripción de tal suceso es "The Event log service was started". El ID y el origen del suceso sirven al personal de soporte técnico para detectar y resolver problemas del sistema.
Usuario - Nombre de usuario de la cuenta por cuya causa se ha producido el suceso. Si éste no ha sido registrado por un usuario, se muestra el ID de seguridad de la entidad que efectúa el registro.
Equipo - Nombre del equipo en el que ha tenido lugar el suceso.