NIS2-Asset-Management: Was erwartet das BSI?

Warum Asset-Management der unterschätzte Eckpfeiler ist

Asset-Management taucht in Art. 21 NIS2 nicht als eigene Maßnahme auf, es ist implizite Voraussetzung für mindestens fünf der elf Mindestmaßnahmen:

• Risikomanagement (lit. a), ohne Inventar keine Risiken bewertbar
• Vorfalls-Bewältigung (lit. b), ohne Inventar keine Eindämmung priorisierbar
• Sicherheit der Lieferkette (lit. d), ohne Lieferanten-Inventar keine Drittparteien-Sicherheit
• Verfahren zur Verschlüsselung (lit. h), ohne Inventar keine Daten-Klassifikation
• Personalsicherheit (lit. i), ohne Account-Inventar keine Zugangskontrolle

In der Aufsichtspraxis (EU-Vorreiter-Staaten) zeigt sich: ein lückenhaftes Asset-Management ist der häufigste Grund, warum Selbsteinschätzungen revidiert werden müssen. „Wir wussten nicht, dass dieser Server überhaupt existiert" ist der Klassiker bei Audits.

Was das BSI methodisch erwartet

Die BSI-Methodik aus dem IT-Grundschutz und ISO 27001 konvergiert auf einen vierstufigen Prozess:

Stufe 1: Strukturanalyse

• Identifikation aller relevanten Assets (Hardware, Software, Daten, Räume, Mitarbeitende)
• Erfassung der Verknüpfungen und Abhängigkeiten
• Gruppierung in Anwendungsverbünde

Stufe 2: Schutzbedarfsfeststellung

• Klassifikation pro Asset nach den Schutzzielen Vertraulichkeit, Integrität, Verfügbarkeit
• Skalierung: normal / hoch / sehr hoch
• Begründung pro Klassifikation dokumentieren

Stufe 3: Modellierung

• Zuordnung von Schutzmaßnahmen-Bausteinen je nach Asset-Typ und Schutzbedarf
• Anwendung des IT-Grundschutz-Kompendiums oder ISO-27002-Controls

Stufe 4: Soll-Ist-Vergleich

• Welche Maßnahmen sind umgesetzt?
• Welche fehlen?
• Wie ist der Umsetzungs-Plan?

Diese Methodik ist in den BSI IT-Grundschutz-Dokumenten detailliert beschrieben. Für NIS2-Compliance reicht eine vereinfachte Variante, die volle Grundschutz-Methodik ist eher relevant für eine spätere ISO-27001-Zertifizierung.

Asset-Kategorien für die Praxis

Mindest-Datenfelder pro Asset

Für jedes Asset sollten mindestens diese Felder gepflegt sein:

• Eindeutige ID (kein „Drucker im 2. Stock", sondern z.B. DRU-2OG-003)
• Bezeichnung und Modell
• Owner, verantwortliche Person/Rolle (nicht nur „IT-Abteilung")
• Standort (Raum, Rack, Cloud-Region)
• Status (in Betrieb / Spare / außer Dienst)
• Schutzbedarf für die drei Schutzziele
• Verknüpfungen zu anderen Assets (Abhängigkeiten)
• Lifecycle-Daten, Beschaffung, Garantie-Ende, geplantes EoL
• Compliance-Tags, z.B. „NIS2-relevant", „DSGVO-personenbezogene Daten"

Bei Software zusätzlich: Version, Lizenz-Status, Patch-Stand.

Tooling: Vom Excel bis zur CMDB

Asset-Management lässt sich auf verschiedenen Reifegraden umsetzen:

Reifegrad 1, Excel/Google Sheets:

• Eine zentrale Tabelle pro Asset-Kategorie
• Spalten gemäß Mindest-Datenfelder
• Manuelle Pflege durch Asset-Owner
• Geeignet für KMU mit unter 200 Assets in einer Kategorie

Reifegrad 2, Strukturierte DB:

• z.B. Notion, Airtable oder SharePoint-Listen
• Relationale Verknüpfungen, Views, einfache Workflows
• Geeignet für KMU mit 200-2000 Assets

Reifegrad 3, CMDB / IT-Service-Management:

• ServiceNow, Jira Service Management, OTOBO, i-doit
• Automatisierte Erkennung (Discovery-Tools), Integration mit Monitoring
• Geeignet für >2000 Assets oder ISO-27001-Zertifizierungsambitionen

Reifegrad 4, Integriertes ISMS-Tool:

• verinice, otris, HiScout, Anbieter mit BSI-Grundschutz-Integration
• Direkter Mapping zu Schutzbedarfsfeststellung und Maßnahmen-Bausteinen
• Geeignet für regulierte Branchen mit hohem Audit-Druck

Wichtig: das Tooling ist Mittel, nicht Zweck. Eine schlecht gepflegte CMDB ist schlechter als eine konsequent geführte Excel-Tabelle. Die BSI-Aufsicht prüft nicht das Tool, sondern die Datenqualität.

Praxis: Asset-Management in 6 Wochen aufbauen

Detaillierter 6-Wochen-Plan:

Ab Woche 7 läuft das Asset-Management im Betrieb, quartalsweise Reviews, jährliche Vollständigkeits-Audits.

FAQ

Müssen wir wirklich jeden Drucker im Inventar haben?

Drucker mit Netzwerkanschluss ja, sie sind potentielle Einfallstore (offene Webserver, schwache Default-Passwörter). Standalone-USB-Drucker ohne Netzwerkanschluss können in Gruppen erfasst werden. Die Faustregel: alles, was eine IP-Adresse hat oder Daten verarbeitet, gehört ins Inventar.

Wie genau muss der Schutzbedarf begründet werden?

Pro Asset ein bis drei Sätze pro Schutzziel reichen. Beispiel: „Vertraulichkeit: hoch (enthält Personaldaten aller Mitarbeitenden). Integrität: hoch (Verfälschung würde Lohnabrechnung beeinflussen). Verfügbarkeit: normal (Ausfall bis 8h tragbar). Begründung im Rahmen der jährlichen Schutzbedarfsfeststellung 2026-03-15." Das ist BSI-Standard-Niveau, kein wissenschaftliches Gutachten.

Wie oft muss das Inventar überprüft werden?

BSI-Standard und ISO 27001 empfehlen mindestens jährliche Reviews, bei sich schnell ändernden Umgebungen halbjährlich. Für die NIS2-Selbsteinschätzung ist die letzte Aktualisierung relevant, ein Inventar, das älter als 12 Monate ist, wird in Audits regelmäßig beanstandet.

Sollten wir Discovery-Tools nutzen?

Discovery-Tools (z.B. Lansweeper, ManageEngine, Auvik) automatisieren die Erfassung von Netzwerk-Assets. Sie sind sinnvoll ab ca. 200 Endgeräten oder bei häufigen Veränderungen. Für kleine Mittelständler unter 100 Geräten überwiegt der Aufwand für Tool-Einführung den Nutzen, manuelle Pflege mit jährlicher Vollständigkeits-Prüfung reicht.

Wie hängt Asset-Management mit dem Verzeichnis der Verarbeitungstätigkeiten (DSGVO) zusammen?

Die beiden Verzeichnisse haben Überschneidungen, sind aber unterschiedlich. Das DSGVO-VVT fokussiert auf personenbezogene Datenverarbeitung. Das Asset-Inventar fokussiert auf IT-Systeme und Daten generell. Idealerweise ist das VVT eine Sicht auf das Asset-Inventar, die Datenklassifikations-Felder im Asset werden mit dem VVT abgeglichen. Doppel-Pflege vermeiden.