NIS2-Asset-Management: Was erwartet das BSI?

Warum Asset-Management der unterschätzte Eckpfeiler ist

Asset-Management ist in Art. 21 Abs. 2 lit. i NIS2 ausdrücklich als Maßnahme genannt („Management von Anlagen“; § 30 Abs. 2 Nr. 9 BSIG). Darüber hinaus ist ein Inventar Voraussetzung für mehrere der zehn Maßnahmen aus Art. 21 Abs. 2 NIS2 bzw. § 30 Abs. 2 BSIG:

• Konzepte für Risikoanalyse und Informationssicherheit (lit. a), ohne Inventar keine Risiken bewertbar
• Vorfalls-Bewältigung (lit. b), ohne Inventar keine Eindämmung priorisierbar
• Sicherheit der Lieferkette (lit. d), ohne Lieferanten-Inventar keine Drittparteien-Sicherheit
• Verfahren zur Verschlüsselung (lit. h), ohne Inventar keine Daten-Klassifikation
• Personalsicherheit, Zugriffskontrolle und Asset-Management (lit. i), ohne Account- und Asset-Inventar keine Zugangskontrolle

Ein lückenhaftes Inventar hat direkte Folgen: Systeme, die nicht erfasst sind, fallen aus Risikoanalyse, Patch-Management und Vorfallsbewältigung heraus.

Was der BSI-Standard 200-2 methodisch vorsieht

Der BSI-Standard 200-2 beschreibt für die Erstellung einer Sicherheitskonzeption unter anderem folgende Schritte; danach folgen Risikoanalyse und Umsetzung:

Stufe 1: Strukturanalyse

• Erfassung von Geschäftsprozessen und zugehörigen Informationen, Anwendungen, IT-Systemen, ICS-Systemen, sonstigen Geräten und Räumen sowie Netzplanerhebung
• Erfassung der Verknüpfungen und Abhängigkeiten
• Komplexitätsreduktion durch Gruppenbildung gleichartiger Objekte

Stufe 2: Schutzbedarfsfeststellung

• Klassifikation pro Asset nach den Schutzzielen Vertraulichkeit, Integrität, Verfügbarkeit
• Skalierung: normal / hoch / sehr hoch
• Begründung pro Klassifikation dokumentieren

Stufe 3: Modellierung

• Zuordnung der Bausteine aus dem IT-Grundschutz-Kompendium zu den erfassten Zielobjekten
• Auswahl und Anpassung der Anforderungen je nach Schutzbedarf

Stufe 4: Soll-Ist-Vergleich

• Welche Maßnahmen sind umgesetzt?
• Welche fehlen?
• Wie ist der Umsetzungs-Plan?

Diese Methodik ist in den BSI IT-Grundschutz-Dokumenten detailliert beschrieben. Das BSIG schreibt keine bestimmte Methodik vor: § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen unter Berücksichtigung des Stands der Technik. Der BSI-Standard 200-2 bietet neben der Standard-Absicherung auch eine Basis- und eine Kern-Absicherung als Einstieg.

Asset-Kategorien für die Praxis

Mindest-Datenfelder pro Asset

Für jedes Asset sollten mindestens diese Felder gepflegt sein:

• Eindeutige ID (kein „Drucker im 2. Stock", sondern z.B. DRU-2OG-003)
• Bezeichnung und Modell
• Owner, verantwortliche Person/Rolle (nicht nur „IT-Abteilung")
• Standort (Raum, Rack, Cloud-Region)
• Status (in Betrieb / Spare / außer Dienst)
• Schutzbedarf für die drei Schutzziele
• Verknüpfungen zu anderen Assets (Abhängigkeiten)
• Lifecycle-Daten, Beschaffung, Garantie-Ende, geplantes EoL
• Compliance-Tags, z.B. „NIS2-relevant", „DSGVO-personenbezogene Daten"

Bei Software zusätzlich: Version, Lizenz-Status, Patch-Stand.

Tooling: Vom Excel bis zur CMDB

Asset-Management lässt sich auf verschiedenen Reifegraden umsetzen:

Reifegrad 1, Excel/Google Sheets:

• Eine zentrale Tabelle pro Asset-Kategorie
• Spalten gemäß Mindest-Datenfelder
• Manuelle Pflege durch Asset-Owner
• Geeignet für KMU mit unter 200 Assets in einer Kategorie

Reifegrad 2, Strukturierte DB:

• z.B. Notion, Airtable oder SharePoint-Listen
• Relationale Verknüpfungen, Views, einfache Workflows
• Geeignet für KMU mit 200-2000 Assets

Reifegrad 3, CMDB / IT-Service-Management:

• ServiceNow, Jira Service Management, OTOBO, i-doit
• Automatisierte Erkennung (Discovery-Tools), Integration mit Monitoring
• Geeignet für >2000 Assets oder ISO-27001-Zertifizierungsambitionen

Reifegrad 4, Integriertes ISMS-Tool:

• z. B. verinice, HiScout oder andere Anbieter mit BSI-Grundschutz-Integration
• Direkter Mapping zu Schutzbedarfsfeststellung und Maßnahmen-Bausteinen
• Geeignet für regulierte Branchen mit hohem Audit-Druck

Wichtig: das Tooling ist Mittel, nicht Zweck. Eine schlecht gepflegte CMDB ist schlechter als eine konsequent geführte Excel-Tabelle. Entscheidend ist, dass das Inventar vollständig und aktuell ist.

Praxis: Asset-Management in 6 Wochen aufbauen

Detaillierter 6-Wochen-Plan:

Ab Woche 7 läuft das Asset-Management im Betrieb, quartalsweise Reviews, jährliche Vollständigkeits-Audits.

FAQ

Müssen wir wirklich jeden Drucker im Inventar haben?

Drucker mit Netzwerkanschluss ja, sie sind potentielle Einfallstore (offene Webserver, schwache Default-Passwörter). Standalone-USB-Drucker ohne Netzwerkanschluss können in Gruppen erfasst werden. Die Faustregel: alles, was eine IP-Adresse hat oder Daten verarbeitet, gehört ins Inventar.

Wie genau muss der Schutzbedarf begründet werden?

Pro Asset ein bis drei Sätze pro Schutzziel reichen. Beispiel: „Vertraulichkeit: hoch (enthält Personaldaten aller Mitarbeitenden). Integrität: hoch (Verfälschung würde Lohnabrechnung beeinflussen). Verfügbarkeit: normal (Ausfall bis 8h tragbar). Begründung im Rahmen der jährlichen Schutzbedarfsfeststellung 2026-03-15." Der BSI-Standard 200-2 verlangt nachvollziehbare Begründungen der Schutzbedarfsfeststellung, kein wissenschaftliches Gutachten.

Wie oft muss das Inventar überprüft werden?

Ein gesetzliches Intervall gibt es nicht. Der BSI-Standard 200-2 empfiehlt, für Sicherheitsdokumente Aktualisierungsintervalle festzulegen, und hält fest, dass sich für den überwiegenden Teil der Dokumente eine jährliche Überprüfung bewährt hat. Zusätzlich sollte die Inventarisierung an das Änderungsmanagement gekoppelt sein, damit neue oder ausgemusterte Systeme laufend erfasst werden. In schnell wechselnden Umgebungen sind kürzere Intervalle sinnvoll.

Sollten wir Discovery-Tools nutzen?

Discovery-Tools (z.B. Lansweeper, ManageEngine, Auvik) automatisieren die Erfassung von Netzwerk-Assets. Sie sind sinnvoll ab ca. 200 Endgeräten oder bei häufigen Veränderungen. Für kleine Mittelständler unter 100 Geräten überwiegt der Aufwand für Tool-Einführung den Nutzen, manuelle Pflege mit jährlicher Vollständigkeits-Prüfung reicht.

Wie hängt Asset-Management mit dem Verzeichnis der Verarbeitungstätigkeiten (DSGVO) zusammen?

Die beiden Verzeichnisse haben Überschneidungen, sind aber unterschiedlich. Das DSGVO-VVT fokussiert auf personenbezogene Datenverarbeitung. Das Asset-Inventar fokussiert auf IT-Systeme und Daten generell. Idealerweise ist das VVT eine Sicht auf das Asset-Inventar, die Datenklassifikations-Felder im Asset werden mit dem VVT abgeglichen. Doppel-Pflege vermeiden.