NIS2 Asset-Management und Inventarisierung: Anforderungen und Vorgehen

Sie können kein Risiko für ein System bewerten, von dessen Existenz Ihre IT-Abteilung nichts weiß. Genau das ist in der Praxis der Normalfall: ein Server im Serverraum, den niemand mehr einem Projekt zuordnen kann, ein Laptop, der vor zwei Jahren an eine ausgeschiedene Mitarbeiterin ausgegeben wurde, eine SPS-Steuerung in der Produktionshalle, die niemand als „IT“ betrachtet. Artikel 21 Absatz 2 Buchstabe i der NIS-2-Richtlinie nennt unter den Mindestmaßnahmen betroffener Einrichtungen unter anderem das „Management von Anlagen“ – im deutschen Recht umgesetzt in § 30 Absatz 2 Nummer 9 BSIG. Was nüchtern nach Verwaltungsaufgabe klingt, ist tatsächlich die Voraussetzung dafür, dass jede andere NIS2-Pflicht funktioniert: Ohne vollständiges Inventar ist Ihre Risikoanalyse eine Bewertung auf unvollständiger Datenbasis. Dieser Leitfaden erklärt, was Artikel 21(2)(i) NIS2 und § 30 BSIG verlangen, wie die Durchführungsverordnung (EU) 2024/2690 die Anforderung für bestimmte digitale Diensteanbieter konkretisiert, was in ein Inventar gehört – Hardware, Software, Daten, OT – und wie daraus auch ohne Enterprise-CMDB-Lizenz ein nachvollziehbar gepflegtes Register wird.

Warum das Asset-Inventar die Grundlage jeder NIS2-Risikoanalyse ist

Artikel 21 NIS2 verpflichtet betroffene Einrichtungen zu Maßnahmen des Cybersicherheitsrisikomanagements, die nach Absatz 2 auf einem „gefahrenübergreifenden Ansatz“ beruhen müssen. Ein Risiko lässt sich aber nur für etwas bewerten, das Sie kennen. Die NIS2-Risikobewertung nach Artikel 21 Absatz 2 Buchstabe a setzt in der Praxis voraus, dass die Risiken für die genutzten Systeme – etwa nach Eintrittswahrscheinlichkeit und Auswirkung – bewertet werden – und genau diese Zuordnung scheitert regelmäßig nicht an der Methodik, sondern an einer unvollständigen Liste der Systeme selbst. Ein Server, der im Inventar fehlt, wird in keiner Risikobewertung auftauchen, erhält keine Schutzmaßnahme und bleibt trotzdem angreifbar.

Das Asset-Inventar ist deshalb keine nachgelagerte Dokumentationspflicht, sondern die Eingabedatenbank für praktisch jede weitere NIS2-Maßnahme: Ohne Systemliste keine sinnvolle Risikobewertung, ohne Klassifizierung keine risikoadäquate Zugangskontrolle, ohne Kenntnis der Datenflüsse keine belastbare Meldung im Ernstfall. Für Geschäftsführerinnen und Geschäftsführer ist der praktische Punkt einfacher: Ein lückenhaftes Inventar bedeutet nicht nur ein Compliance-Risiko, sondern reale blinde Flecken – vergessene Systeme sind in der Praxis oft veraltet, ungepatcht und schlecht überwacht, weil niemand sie aktiv betreut.

Diese blinden Flecken entstehen selten absichtlich. Ein Testserver, der nach Projektende nicht abgeschaltet wurde. Ein Cloud-Abo, das eine Fachabteilung ohne Rücksprache mit der IT abgeschlossen hat. Ein Router, den ein externer Dienstleister vor Jahren installiert und seither niemand mehr dokumentiert hat. Jedes dieser Systeme existiert technisch, taucht aber in keiner Liste auf – und ist damit automatisch von jeder Risikobewertung, jedem Patch-Zyklus und jeder Zugangskontrolle ausgenommen. Ein vollständiges Inventar schließt genau diese Lücke, bevor sie zum Einfallstor wird.

Rechtliche Grundlage: Artikel 21(2)(i) NIS2 und § 30 Absatz 2 Nummer 9 BSIG

Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 fasst drei eng verwandte Kontrollen in einer Anforderung zusammen; im deutschen Wortlaut: „Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen“ (Asset-Management). Das deutsche Umsetzungsgesetz greift diese Anforderung in § 30 Absatz 2 Nummer 9 BSIG auf: „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“. Das BSIG weicht damit vom Richtlinienwortlaut ab und spricht nicht von „Anlagen“, sondern ausdrücklich von IKT-Systemen, -Produkten und -Prozessen – nicht nur von physischen Geräten. Nach § 30 Absatz 1 Satz 3 BSIG ist die Einhaltung der Maßnahmen zudem von den Einrichtungen zu dokumentieren.

Die folgende Tabelle ordnet die Rechtsgrundlagen ein:

Rechtsgrundlage	Regelt	Ebene
Art. 21(2)(i) NIS2	Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen als eine der zehn Mindestmaßnahmen	EU-Richtlinie
§ 30 Abs. 2 Nr. 9 BSIG	Deutsche Transposition – Konzepte für Personalsicherheit, Zugriffskontrolle, Verwaltung von IKT-Systemen/-Produkten/-Prozessen	Nationales Recht
CIR (EU) 2024/2690, Anhang Abschnitt 12	Technische Ausgestaltung: Klassifizierung, Behandlung, Wechseldatenträger, Inventar, Rückgabe bei Ausscheiden	Unmittelbar geltende Verordnung – aber nur für die in Art. 1 genannten Einrichtungsarten (§ 30 Abs. 3 BSIG); für alle anderen Orientierungshilfe
§ 38 BSIG	Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen; Haftung bei schuldhafter Pflichtverletzung gegenüber der Einrichtung nach Gesellschaftsrecht	Nationales Recht

Die inhaltlichen Anforderungen aus Artikel 21 sind für alle zehn Maßnahmenbereiche identisch aufgebaut – ein vollständiger Überblick findet sich im Leitfaden zu den NIS2-Anforderungen. Wichtig für die Praxis: Asset-Management ist rechtlich mit Zugangskontrolle verknüpft, inhaltlich aber eine eigene Disziplin. Der ausführliche Leitfaden zur NIS2-Zugangssteuerung behandelt bewusst nur die personen- und zugriffsbezogene Hälfte dieser Anforderung – dieser Artikel schließt die Lücke für die Anlagen- und Werteverwaltung.

Was die CIR-Durchführungsverordnung im Anhang Abschnitt 12 konkret verlangt

Die Richtlinie selbst bleibt beim Wortlaut „Verwaltung von Anlagen und Werten“ abstrakt. Konkreter wird die NIS2-Durchführungsverordnung (CIR (EU) 2024/2690), deren Anhang in Abschnitt 12 („Anlagen- und Wertemanagement“) fünf Einzelanforderungen enthält. Wichtig: Verbindlich ist die CIR nur für die in ihrem Artikel 1 genannten Einrichtungsarten – DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing- und Rechenzentrumsdienste, Betreiber von Inhaltszustellnetzen, Managed (Security) Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter; für sie hat sie nach § 30 Absatz 3 BSIG Vorrang. Für alle anderen Einrichtungen gilt § 30 Absatz 2 Nummer 9 BSIG; Abschnitt 12 ist für sie eine nützliche, aber nicht verbindliche Orientierung:

CIR-Punkt	Anforderung	Was das in der Praxis bedeutet
12.1 – Klassifizierung	Klassifizierungsstufen für alle Anlagen und Werte (einschließlich Informationen) nach Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit; Verfügbarkeitsanforderungen an die Ziele des Notfallplans anpassen; regelmäßige Überprüfung (12.1.3)	Erforderlich ist ein festgelegtes System von Klassifizierungsstufen, das jedem Asset eine Stufe zuordnet; die Zahl der Stufen gibt die CIR nicht vor
12.2 – Behandlung	Konzept über den gesamten Lebenszyklus: Erwerb, Verwendung, Speicherung, Transport, Entsorgung – inklusive unwiederbringlicher Löschung und Vernichtung; Überprüfung in geplanten Zeitabständen	Ausmusterung und Entsorgung brauchen einen dokumentierten Prozess, nicht nur die Neuanschaffung
12.3 – Wechseldatenträger	Eigenes Konzept für Wechseldatenträger: technische Sperrung, sofern keine organisatorischen Gründe für die Nutzung vorliegen; keine Selbstausführung, Scan auf Schadcode; ggf. Verschlüsselung	Auch eine bereits eingerichtete technische Sperre sollte in einem dokumentierten Konzept verankert und den Nutzern mitgeteilt werden
12.4 – Inventar	Liste der Betriebsabläufe und Dienste sowie der Netz- und Informationssysteme und zugehörigen Anlagen; vollständig, genau, aktuell und kohärent; Granularität nach Bedarf; Änderungen nachvollziehbar	Ein einmaliger Snapshot reicht nicht – gefordert ist ein lebendes Register mit Änderungsverlauf
12.5 – Abgabe, Rückgabe oder Löschung	Verfahren, damit Anlagen und Werte beim Ende des Beschäftigungsverhältnisses abgegeben, zurückgegeben oder gelöscht werden – mit Dokumentation; ist das nicht möglich, dürfen sie nicht mehr auf die Systeme zugreifen können	Der Austrittsprozess (Laptop, Token, Datenträger, private Geräte mit Firmendaten) gehört ins Asset-Management, nicht nur in die Personalabteilung

Bemerkenswert an Abschnitt 12.4 ist die doppelte Struktur: Gefordert ist nicht nur eine Liste der Netz- und Informationssysteme und zugehörigen Anlagen und Werte, sondern zusätzlich eine Liste der Betriebsabläufe und Dienste samt Beschreibung, die diese unterstützen. In der Praxis bedeutet das: Ihr Inventar sollte nicht nur „Server X, IP Y, Standort Z“ dokumentieren, sondern auch, welchen Geschäftsprozess Server X überhaupt unterstützt – sonst lässt sich später keine sinnvolle Kritikalitätseinstufung vornehmen.

Was Sie inventarisieren müssen: Hardware, Software, Daten und OT

Weder § 30 BSIG noch die CIR schreiben eine starre Feldliste oder feste Kategorien vor; in der betrieblichen Praxis hat sich jedoch eine Gliederung in vier Kategorien bewährt:

Kategorie	Typische Assets	Besonderheit
Hardware	Server, Notebooks, Netzwerkkomponenten, Firewalls, mobile Endgeräte, Speichersysteme	Am einfachsten zu erfassen – meist bereits über Beschaffung/Endpoint-Management sichtbar
Software & Lizenzen	Betriebssysteme, Anwendungen, Firmware-Versionen, Cloud-Dienste (SaaS)	Versionsstand ist sicherheitsrelevant – veraltete Software ohne Patch-Stand gehört ins Register, nicht nur in die Lizenzverwaltung
Daten & Informationswerte	Kundendaten, Forschungs- und Entwicklungsdaten, Finanzdaten, Zugangsdaten	Wird in der Praxis am häufigsten vergessen, weil Daten kein physisches Gerät sind – CIR 12.1 verlangt aber ausdrücklich auch die Klassifizierung von Informationen
OT / Industrielle Steuerungssysteme	SPS, SCADA-Leitsysteme, Sensorik, Aktoren, industrielle Netzwerkkomponenten	Häufig nicht Teil des klassischen IT-Inventars, obwohl OT-Systeme oft die kritischsten Anlagen im Unternehmen tragen; erfordert eigene Erfassungswege (Netzwerk-Scans in OT-Umgebungen können Steuerungen stören)

Für Fertigungs- und Energieunternehmen ist die vierte Kategorie meist die aufwendigste: OT-Anlagen laufen häufig auf veralteten, nicht patchbaren Betriebssystemen, und ein aktives Scannen des Produktionsnetzes kann Steuerungen zum Absturz bringen. Ein realistischer Ansatz ist die passive Erfassung – Auswertung von Netzwerk-Traffic statt aktivem Scan – kombiniert mit einer manuellen Bestandsaufnahme durch die Betriebstechnik. OT-Assets sollten im selben Register wie IT-Assets erscheinen, aber mit einem Feld zur Kennzeichnung, damit Risikobewertung und Zugangskontrolle die OT-spezifischen Rahmenbedingungen berücksichtigen können.

Vom Excel-Register zum lebenden Inventar: CMDB-Praxis für KMU

Eine Configuration Management Database (CMDB) im Enterprise-Sinn ist für die meisten NIS2-pflichtigen KMU weder nötig noch wirtschaftlich sinnvoll. Entscheidend ist nicht das Tool, sondern ob das Register die vier Eigenschaften erfüllt, die CIR 12.4.1 nennt – vollständig, genau, aktuell, kohärent. Die folgende Gegenüberstellung zeigt den realistischen Reifegrad-Weg:

Ausgangslage	CIR-konformer Zielzustand	Aufwand
Kein zentrales Inventar, Wissen nur „im Kopf“ der IT	Vollständiges Register mit Pflichtfeldern je Asset	Hoch
Excel-Liste ohne Klassifizierung und ohne Aktualisierungsprozess	Klassifiziertes Register (CIR 12.1) mit definiertem Update-Turnus	Mittel
IT-Asset-Tool vorhanden, OT-Anlagen fehlen komplett	Erweiterung um OT-Erfassung (passiv, mit Kennzeichnungsfeld)	Mittel
Inventar vorhanden, aber keine Entsorgungs- oder Löschnachweise	Lebenszyklus-Konzept nach CIR 12.2 inklusive dokumentierter Löschung	Niedrig

Für eine kleinere, überschaubare IT-Umgebung reicht ein sauber strukturiertes Tabellenkalkulations-Register mit festen Spalten (eindeutige Kennung, Eigentümer, Beschreibung, Standort, Typ, Klassifizierung, letztes Update/Patch, End-of-Life-Datum) in der Regel aus – solange jemand konkret für die Pflege verantwortlich ist und Änderungen nachvollziehbar protokolliert werden. Mit wachsender Geräteanzahl und häufigeren Änderungen wird ein Tabellenregister erfahrungsgemäß unhandlich; hier lohnt sich der Umstieg auf ein leichtgewichtiges Open-Source- oder Low-Cost-Asset-Tool, das sich mit dem bestehenden Verzeichnisdienst (Active Directory) oder Endpoint-Management-System synchronisieren lässt, statt manuell gepflegt zu werden. Größere Organisationen mit mehreren Standorten oder einer bestehenden ITSM-Plattform (z. B. im Rahmen von ISO 27001) sollten das Asset-Register direkt in dieses System integrieren, statt eine Parallelstruktur aufzubauen. In jedem Reifegrad gilt: Ein manuell geführtes, aber tatsächlich gepflegtes Register erfüllt die Anforderungen eher als ein automatisiertes Tool, das nach der Einführung nicht mehr aktualisiert wird.

Rollen und Verantwortlichkeiten

Rolle	Verantwortung im Asset-Management
IT-Sicherheitsbeauftragte/r (CISO)	Definiert das Klassifizierungsschema (CIR 12.1), wählt Erfassungsmethode/Tool, koordiniert die Umsetzung und berichtet an die Geschäftsleitung
IT-Betrieb / Administration	Pflegt das laufende Register, erfasst Zu- und Abgänge bei Beschaffung und Ausmusterung
Betriebstechnik / OT-Verantwortliche	Liefert die Bestandsdaten für Produktionsanlagen, die nicht über klassische IT-Kanäle sichtbar sind
Fachbereiche / Asset-Owner	Bestätigen Schutzbedarf und tatsächliche Nutzung „ihrer“ Systeme und Daten
Geschäftsleitung	Muss nach § 38 Abs. 1 BSIG die Risikomanagementmaßnahmen nach § 30 – einschließlich des Asset-Managements – umsetzen und ihre Umsetzung überwachen; eine formale Freigabe schreibt das Gesetz nicht vor, ist aber als Nachweis sinnvoll

Fahrplan: In fünf Schritten zum CIR-konformen Asset-Inventar

Schritt 1: Geltungsbereich festlegen (Aufwand: niedrig). Definieren Sie, welche Systeme, Standorte und Netzsegmente vom Inventar erfasst werden sollen – inklusive Cloud-Diensten und OT-Anlagen.

Schritt 2: Bestehende Quellen zusammenführen (Aufwand: mittel). Die meisten Unternehmen haben bereits Teilinventare – Active Directory, Endpoint-Management, Lizenzverwaltung, Netzwerk-Dokumentation. Konsolidieren Sie diese in ein zentrales Register, statt bei null zu beginnen.

Schritt 3: Klassifizierungsschema nach CIR 12.1 definieren (Aufwand: mittel). Legen Sie Schutzstufen fest, die Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit abbilden, und ordnen Sie jedem Asset eine Stufe zu.

Schritt 4: Behandlungs- und Wechseldatenträger-Konzept dokumentieren (Aufwand: mittel). Regeln Sie Erwerb, Nutzung, Speicherung, Transport und – besonders prüfungsrelevant – die sichere Entsorgung nach CIR 12.2 sowie ein eigenständiges Konzept für Wechseldatenträger nach CIR 12.3.

Schritt 5: Aktualisierungsprozess etablieren (Aufwand: niedrig bis mittel). Legen Sie fest, wer bei Neuanschaffung, Umzug, Ausmusterung oder dem Ausscheiden von Beschäftigten (CIR 12.5) das Register aktualisiert, und definieren Sie einen Turnus für die interne Überprüfung der Klassifizierungsstufen.

Für einen Auditor oder eine Prüfung durch das BSI sind insbesondere folgende Nachweise relevant: das vollständige Register mit den Inhalten nach CIR 12.4.2 (Abläufe/Dienste und unterstützende Systeme), das dokumentierte Klassifizierungsschema, ein Protokoll der letzten Aktualisierungen, Nachweise über sichere Entsorgung/Löschung ausgemusterter Assets und über die Rückgabe beim Ausscheiden von Beschäftigten sowie die Verantwortlichkeiten-Matrix aus dem vorherigen Abschnitt.

Häufig gestellte Fragen

Muss ich auch OT-Anlagen inventarisieren, oder reicht die IT?

CIR Abschnitt 12.4 verlangt ein Inventar der „Netz- und Informationssysteme und zugehörigen Anlagen“ – OT wird dort nicht eigens genannt, fällt aber darunter, soweit Steuerungssysteme zu den Netz- und Informationssystemen gehören, die die Dienste der Einrichtung unterstützen. Auch § 30 Absatz 1 BSIG stellt auf alle informationstechnischen Systeme, Komponenten und Prozesse ab, die für die Erbringung der Dienste genutzt werden. Für Fertigungs- und Energieunternehmen ist die OT-Erfassung meist der aufwendigste, aber auch der sicherheitsrelevanteste Teil des Inventars.

Reicht eine Excel-Tabelle als NIS2-konformes Asset-Register?

Ja, das Gesetz schreibt kein bestimmtes Tool vor – sofern die Tabelle die Anforderungen tatsächlich erfüllt, die CIR 12.4 beschreibt: vollständig, genau, aktuell, kohärent, mit nachvollziehbarem Änderungsverlauf. Für kleinere Unternehmen mit überschaubarer Geräteanzahl ist eine gepflegte Tabelle einem ungenutzten Tool vorzuziehen. Ab einer gewissen Größe wird eine Tabelle jedoch unpraktikabel und ein leichtgewichtiges Asset-Tool sinnvoller.

Wie oft muss das Inventar aktualisiert werden?

Die CIR schreibt kein starres Intervall vor, verlangt aber, dass das Inventar „regelmäßig“ überprüft und aktualisiert, der Verlauf der Änderungen dokumentiert wird (12.4.3) und das Register „aktuell“ bleibt. Sinnvoll ist eine Aktualisierung bei jedem Zu- oder Abgang plus eine turnusmäßige interne Überprüfung, deren Intervall die Einrichtung risikobasiert selbst festlegt und dokumentiert.

Was ist der Unterschied zwischen Asset-Management und Zugangskontrolle nach Art. 21(2)(i)?

Beide Kontrollen sind in derselben gesetzlichen Anforderung zusammengefasst (Art. 21(2)(i) NIS2, § 30 Abs. 2 Nr. 9 BSIG), adressieren aber unterschiedliche Fragen: Asset-Management beantwortet „Was besitzen wir, und wie schützenswert ist es?“, Zugangskontrolle beantwortet „Wer darf darauf zugreifen?“. Die Zugangskontrolle baut inhaltlich auf der Asset-Klassifizierung auf – ohne Kenntnis der Schutzstufe eines Systems lässt sich keine risikoadäquate Zugriffsregel definieren. Details zur personen- und zugriffsbezogenen Seite dieser Anforderung finden Sie im Leitfaden zur NIS2-Zugangssteuerung.

Welche Sanktionen drohen bei einem unvollständigen Asset-Inventar?

Ein lückenhaftes Asset-Management ist Teil der allgemeinen Sicherheitsmaßnahmen nach Art. 21 NIS2 bzw. § 30 BSIG; wer eine dort genannte Maßnahme nicht, nicht richtig oder nicht vollständig ergreift, handelt nach § 65 Abs. 2 Nr. 2 BSIG ordnungswidrig. Das Bußgeld kann bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bis zu 7 Millionen Euro betragen (§ 65 Abs. 5 BSIG). Nur bei Einrichtungen mit einem Gesamtumsatz von mehr als 500 Millionen Euro gilt stattdessen eine Obergrenze von bis zu 2 Prozent (besonders wichtig) bzw. 1,4 Prozent (wichtig) des Gesamtumsatzes (§ 65 Abs. 6 und 7 BSIG). Auch eine fehlende Dokumentation nach § 30 Abs. 1 Satz 3 BSIG ist bußgeldbewehrt (§ 65 Abs. 2 Nr. 3). Ein fehlendes Inventar dürfte bei einer Prüfung vor allem als Lücke in der Nachweisführung für die gesamte Risikoanalyse auffallen.

Wir sind bereits nach ISO 27001 zertifiziert – brauchen wir trotzdem ein separates NIS2-Asset-Inventar?

Nein, in der Regel nicht als separates Dokument. ISO/IEC 27001:2022 verlangt in Kontrolle 5.9 („Inventory of information and other associated assets“) ein vergleichbares Register mit Klassifizierung und Eigentümerschaft. Ein bestehendes ISO-Inventar lässt sich meist direkt erweitern – für Einrichtungen im Anwendungsbereich der CIR insbesondere um die Verknüpfung zu Betriebsabläufen und Diensten nach Abschnitt 12.4, das Lebenszyklus-Konzept nach Abschnitt 12.2 und die Rückgabe beim Ausscheiden nach Abschnitt 12.5. Prüfen Sie in diesem Fall vor allem, ob OT-Anlagen im bestehenden ISO-Scope überhaupt enthalten sind – das ist bei vielen ISO-27001-Umsetzungen nicht der Fall.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen können je nach Unternehmensgröße, Sektor und bestehender IT-Landschaft variieren. Für eine auf Ihr Unternehmen zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie), insbesondere Artikel 21 — EUR-Lex
2. Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 1 und Anhang Abschnitt 12 (Anlagen- und Wertemanagement) — EUR-Lex
3. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen — Bundesministerium der Justiz, Gesetze im Internet
4. § 38 und § 65 BSIG — Pflichten der Geschäftsleitung und Bußgeldvorschriften — Bundesministerium der Justiz, Gesetze im Internet
5. NIS-2-regulierte Unternehmen — Informationen und Orientierungshilfen — Bundesamt für Sicherheit in der Informationstechnik (BSI)
6. Technical Implementation Guidance on Cybersecurity Risk-Management Measures — ENISA