NIS2 Asset-Management und Inventarisierung: Anforderungen und Vorgehen

Sie können kein Risiko für ein System bewerten, von dessen Existenz Ihre IT-Abteilung nichts weiß. Genau das ist in der Praxis der Normalfall: ein Server im Serverraum, den niemand mehr einem Projekt zuordnen kann, ein Laptop, der vor zwei Jahren an eine ausgeschiedene Mitarbeiterin ausgegeben wurde, eine SPS-Steuerung in der Produktionshalle, die niemand als „IT“ betrachtet. Artikel 21 Absatz 2 Buchstabe i der NIS-2-Richtlinie verlangt von betroffenen Einrichtungen unter anderem Konzepte für die Verwaltung von Anlagen und Werten – im deutschen Recht umgesetzt in § 30 Absatz 2 Nummer 9 BSIG. Was nüchtern nach Verwaltungsaufgabe klingt, ist tatsächlich die Voraussetzung dafür, dass jede andere NIS2-Pflicht funktioniert: Ohne vollständiges Inventar ist Ihre Risikoanalyse eine Bewertung auf unvollständiger Datenbasis. Dieser Leitfaden erklärt, was Artikel 21(2)(i) NIS2 und die Durchführungsverordnung (EU) 2024/2690 konkret verlangen, was Sie erfassen müssen – Hardware, Software, Daten, OT – und wie daraus auch ohne Enterprise-CMDB-Lizenz ein prüfungsreifes Register wird.

Warum das Asset-Inventar die Grundlage jeder NIS2-Risikoanalyse ist

Artikel 21 Absatz 1 NIS2 verpflichtet betroffene Einrichtungen zu Maßnahmen des Cybersicherheitsrisikomanagements auf Grundlage eines „All-Hazards-Ansatzes“. Ein Risiko lässt sich aber nur für etwas bewerten, das Sie kennen. Die NIS2-Risikobewertung nach Artikel 21 Absatz 2 Buchstabe a setzt für jedes betroffene System eine Einschätzung von Eintrittswahrscheinlichkeit und Schadenshöhe voraus – und genau diese Zuordnung scheitert regelmäßig nicht an der Methodik, sondern an einer unvollständigen Liste der Systeme selbst. Ein Server, der im Inventar fehlt, wird in keiner Risikobewertung auftauchen, erhält keine Schutzmaßnahme und bleibt trotzdem angreifbar.

Das Asset-Inventar ist deshalb keine nachgelagerte Dokumentationspflicht, sondern die Eingabedatenbank für praktisch jede weitere NIS2-Maßnahme: Ohne Systemliste keine sinnvolle Risikobewertung, ohne Klassifizierung keine risikoadäquate Zugangskontrolle, ohne Kenntnis der Datenflüsse keine belastbare Meldung im Ernstfall. Für Geschäftsführerinnen und Geschäftsführer ist der praktische Punkt einfacher: Ein lückenhaftes Inventar bedeutet nicht nur ein Compliance-Risiko, sondern reale blinde Flecken – vergessene Systeme sind in der Praxis überdurchschnittlich häufig veraltet, ungepatcht und schlecht überwacht, weil niemand sie aktiv betreut.

Diese blinden Flecken entstehen selten absichtlich. Ein Testserver, der nach Projektende nicht abgeschaltet wurde. Ein Cloud-Abo, das eine Fachabteilung ohne Rücksprache mit der IT abgeschlossen hat. Ein Router, den ein externer Dienstleister vor Jahren installiert und seither niemand mehr dokumentiert hat. Jedes dieser Systeme existiert technisch, taucht aber in keiner Liste auf – und ist damit automatisch von jeder Risikobewertung, jedem Patch-Zyklus und jeder Zugangskontrolle ausgenommen. Ein vollständiges Inventar schließt genau diese Lücke, bevor sie zum Einfallstor wird.

Rechtliche Grundlage: Artikel 21(2)(i) NIS2 und § 30 Absatz 2 Nummer 9 BSIG

Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 fasst drei eng verwandte Kontrollen in einer Anforderung zusammen: Sicherheit des Personals, Konzepte für die Zugangskontrolle und für die Verwaltung von Anlagen und Werten (Asset-Management). Das deutsche Umsetzungsgesetz greift diese Anforderung in § 30 Absatz 2 Nummer 9 BSIG auf: „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“. Die deutsche Formulierung ist dabei bewusst weiter gefasst als „Asset-Management“ im engeren Sinn – sie schließt IKT-Produkte und -Prozesse ausdrücklich mit ein, nicht nur physische Geräte.

Die folgende Tabelle ordnet die Rechtsgrundlagen ein:

Rechtsgrundlage	Regelt	Ebene
Art. 21(2)(i) NIS2	Personalsicherheit, Zugangskontrolle und Verwaltung von Anlagen und Werten als eine der zehn Pflichtmaßnahmen	EU-Richtlinie
§ 30 Abs. 2 Nr. 9 BSIG	Deutsche Transposition – Konzepte für Personalsicherheit, Zugriffskontrolle, Verwaltung von IKT-Systemen/-Produkten/-Prozessen	Nationales Recht
CIR (EU) 2024/2690, Anhang Abschnitt 12	Technische Ausgestaltung: Klassifizierung, Behandlung, Wechseldatenträger, Inventar	Unmittelbar geltende Verordnung
§ 38 BSIG	Persönliche Haftung der Geschäftsleitung, wenn kein angemessenes Asset-Management nachgewiesen werden kann	Nationales Recht

Die inhaltlichen Anforderungen aus Artikel 21 sind für alle zehn Maßnahmenbereiche identisch aufgebaut – ein vollständiger Überblick findet sich im Leitfaden zu den NIS2-Anforderungen. Wichtig für die Praxis: Asset-Management ist rechtlich mit Zugangskontrolle verknüpft, inhaltlich aber eine eigene Disziplin. Der ausführliche Leitfaden zur NIS2-Zugangssteuerung behandelt bewusst nur die personen- und zugriffsbezogene Hälfte dieser Anforderung – dieser Artikel schließt die Lücke für die Anlagen- und Werteverwaltung.

Was die CIR-Durchführungsverordnung im Anhang Abschnitt 12 konkret verlangt

Die Richtlinie selbst bleibt beim Wortlaut „Verwaltung von Anlagen und Werten“ abstrakt. Konkret wird es erst in der NIS2-Durchführungsverordnung (CIR (EU) 2024/2690), deren Anhang in Abschnitt 12 vier Einzelanforderungen an das Asset-Management stellt:

CIR-Punkt	Anforderung	Was das für Sie bedeutet
12.1 – Klassifizierung	Klassifizierungsstufen für alle Anlagen und Werte (einschließlich Informationen) nach Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit; Abgleich mit den Zielen der Betriebskontinuität	Sie brauchen ein Schema mit mindestens 2–3 Schutzstufen, nicht nur eine binäre „kritisch/unkritisch“-Einteilung
12.2 – Behandlung	Konzept über den gesamten Lebenszyklus: Erwerb, Verwendung, Speicherung, Transport, Entsorgung – inklusive sicherer, unumkehrbarer Löschung	Ausmusterung und Entsorgung brauchen einen dokumentierten Prozess, nicht nur die Neuanschaffung
12.3 – Wechseldatenträger	Eigenes Konzept für USB-Sticks, externe Festplatten und vergleichbare Datenträger	Eine separate Regelung ist zwingend, auch wenn Sie Wechseldatenträger technisch bereits einschränken
12.4 – Inventar	Liste der Betriebsabläufe und Dienste sowie der Netz- und Informationssysteme und zugehörigen Anlagen; vollständig, genau, aktuell und kohärent; Granularität nach Bedarf; Änderungen nachvollziehbar	Ein einmaliger Snapshot reicht nicht – gefordert ist ein lebendes Register mit Änderungsverlauf

Bemerkenswert an Abschnitt 12.4 ist die doppelte Struktur: Gefordert ist nicht nur eine Geräteliste, sondern zusätzlich eine Liste der Betriebsabläufe und Dienste, die diese Geräte tragen. In der Praxis bedeutet das: Ihr Inventar sollte nicht nur „Server X, IP Y, Standort Z“ dokumentieren, sondern auch, welchen Geschäftsprozess Server X überhaupt unterstützt – sonst lässt sich später keine sinnvolle Kritikalitätseinstufung vornehmen.

Was Sie inventarisieren müssen: Hardware, Software, Daten und OT

Die CIR selbst schreibt keine starre Feldliste vor; die betriebliche Praxis hat sich jedoch auf vier Kategorien eingespielt, die zusammen den Anwendungsbereich von Abschnitt 12.4 abdecken:

Kategorie	Typische Assets	Besonderheit
Hardware	Server, Notebooks, Netzwerkkomponenten, Firewalls, mobile Endgeräte, Speichersysteme	Am einfachsten zu erfassen – meist bereits über Beschaffung/Endpoint-Management sichtbar
Software & Lizenzen	Betriebssysteme, Anwendungen, Firmware-Versionen, Cloud-Dienste (SaaS)	Versionsstand ist sicherheitsrelevant – veraltete Software ohne Patch-Stand gehört ins Register, nicht nur in die Lizenzverwaltung
Daten & Informationswerte	Kundendaten, Forschungs- und Entwicklungsdaten, Finanzdaten, Zugangsdaten	Wird in der Praxis am häufigsten vergessen, weil Daten kein physisches Gerät sind – CIR 12.1 verlangt aber ausdrücklich auch die Klassifizierung von Informationen
OT / Industrielle Steuerungssysteme	SPS, SCADA-Leitsysteme, Sensorik, Aktoren, industrielle Netzwerkkomponenten	Häufig nicht Teil des klassischen IT-Inventars, obwohl OT-Systeme oft die kritischsten Anlagen im Unternehmen tragen; erfordert eigene Erfassungswege (Netzwerk-Scans in OT-Umgebungen können Steuerungen stören)

Für Fertigungs- und Energieunternehmen ist die vierte Kategorie meist die aufwendigste: OT-Anlagen laufen häufig auf veralteten, nicht patchbaren Betriebssystemen, und ein aktives Scannen des Produktionsnetzes kann Steuerungen zum Absturz bringen. Ein realistischer Ansatz ist die passive Erfassung – Auswertung von Netzwerk-Traffic statt aktivem Scan – kombiniert mit einer manuellen Bestandsaufnahme durch die Betriebstechnik. OT-Assets sollten im selben Register wie IT-Assets erscheinen, aber mit einem Feld zur Kennzeichnung, damit Risikobewertung und Zugangskontrolle die OT-spezifischen Rahmenbedingungen berücksichtigen können.

Vom Excel-Register zum lebenden Inventar: CMDB-Praxis für KMU

Eine Configuration Management Database (CMDB) im Enterprise-Sinn ist für die meisten NIS2-pflichtigen KMU weder nötig noch wirtschaftlich sinnvoll. Entscheidend ist nicht das Tool, sondern ob das Register die vier Eigenschaften aus CIR 12.4 erfüllt – vollständig, genau, aktuell, kohärent. Die folgende Gegenüberstellung zeigt den realistischen Reifegrad-Weg:

Ausgangslage	CIR-konformer Zielzustand	Aufwand
Kein zentrales Inventar, Wissen nur „im Kopf“ der IT	Vollständiges Register mit Pflichtfeldern je Asset	Hoch
Excel-Liste ohne Klassifizierung und ohne Aktualisierungsprozess	Klassifiziertes Register (CIR 12.1) mit definiertem Update-Turnus	Mittel
IT-Asset-Tool vorhanden, OT-Anlagen fehlen komplett	Erweiterung um OT-Erfassung (passiv, mit Kennzeichnungsfeld)	Mittel
Inventar vorhanden, aber keine Entsorgungs- oder Löschnachweise	Lebenszyklus-Konzept nach CIR 12.2 inklusive dokumentierter Löschung	Niedrig

Für ein Unternehmen mit bis zu rund 50 Endgeräten reicht ein sauber strukturiertes Tabellenkalkulations-Register mit festen Pflichtspalten (eindeutige Kennung, Eigentümer, Beschreibung, Standort, Typ, Klassifizierung, letztes Update/Patch, End-of-Life-Datum) in der Regel aus – solange jemand konkret für die Pflege verantwortlich ist und Änderungen nachvollziehbar protokolliert werden. Ab etwa 100–150 Geräten wird ein Tabellenregister unhandlich; hier lohnt sich der Umstieg auf ein leichtgewichtiges Open-Source- oder Low-Cost-Asset-Tool, das sich mit dem bestehenden Verzeichnisdienst (Active Directory) oder Endpoint-Management-System synchronisieren lässt, statt manuell gepflegt zu werden. Größere Organisationen mit mehreren Standorten oder einer bestehenden ITSM-Plattform (z. B. im Rahmen von ISO 27001) sollten das Asset-Register direkt in dieses System integrieren, statt eine Parallelstruktur aufzubauen. In jedem Reifegrad gilt: Ein manuell geführtes, aber tatsächlich gepflegtes Register erfüllt CIR 12.4 eher als ein automatisiertes Tool, das nach der Einführung nicht mehr aktualisiert wird.

Rollen und Verantwortlichkeiten

Rolle	Verantwortung im Asset-Management
IT-Sicherheitsbeauftragte/r (CISO)	Definiert das Klassifizierungsschema (CIR 12.1), wählt Erfassungsmethode/Tool, verantwortet die Gesamtkonformität
IT-Betrieb / Administration	Pflegt das laufende Register, erfasst Zu- und Abgänge bei Beschaffung und Ausmusterung
Betriebstechnik / OT-Verantwortliche	Liefert die Bestandsdaten für Produktionsanlagen, die nicht über klassische IT-Kanäle sichtbar sind
Fachbereiche / Asset-Owner	Bestätigen Schutzbedarf und tatsächliche Nutzung „ihrer“ Systeme und Daten
Geschäftsleitung	Trägt nach § 38 BSIG persönliche Verantwortung für ein angemessenes Asset-Management und muss die Methodik freigeben

Fahrplan: In fünf Schritten zum CIR-konformen Asset-Inventar

Schritt 1: Geltungsbereich festlegen (Aufwand: niedrig). Definieren Sie, welche Systeme, Standorte und Netzsegmente vom Inventar erfasst werden sollen – inklusive Cloud-Diensten und OT-Anlagen.

Schritt 2: Bestehende Quellen zusammenführen (Aufwand: mittel). Die meisten Unternehmen haben bereits Teilinventare – Active Directory, Endpoint-Management, Lizenzverwaltung, Netzwerk-Dokumentation. Konsolidieren Sie diese in ein zentrales Register, statt bei null zu beginnen.

Schritt 3: Klassifizierungsschema nach CIR 12.1 definieren (Aufwand: mittel). Legen Sie Schutzstufen fest, die Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit abbilden, und ordnen Sie jedem Asset eine Stufe zu.

Schritt 4: Behandlungs- und Wechseldatenträger-Konzept dokumentieren (Aufwand: mittel). Regeln Sie Erwerb, Nutzung, Speicherung, Transport und – besonders prüfungsrelevant – die sichere Entsorgung nach CIR 12.2 sowie ein eigenständiges Konzept für Wechseldatenträger nach CIR 12.3.

Schritt 5: Aktualisierungsprozess etablieren (Aufwand: niedrig bis mittel). Legen Sie fest, wer bei Neuanschaffung, Umzug oder Ausmusterung das Register aktualisiert, und definieren Sie einen Turnus für die interne Überprüfung der Klassifizierungsstufen.

Für einen Auditor oder eine BSI-Prüfung sind insbesondere folgende Nachweise relevant: das vollständige Register mit den Pflichtfeldern aus CIR 12.4, das dokumentierte Klassifizierungsschema, ein Protokoll der letzten Aktualisierungen, Nachweise über sichere Entsorgung/Löschung ausgemusterter Assets sowie die Verantwortlichkeiten-Matrix aus dem vorherigen Abschnitt.

Häufig gestellte Fragen

Muss ich auch OT-Anlagen inventarisieren, oder reicht die IT?

CIR Abschnitt 12.4 verlangt ein Inventar der „Netz- und Informationssysteme und zugehörigen Anlagen“ – das schließt OT-Systeme ausdrücklich ein, sofern sie im Geltungsbereich Ihrer NIS2-Pflichten liegen. Für Fertigungs- und Energieunternehmen ist die OT-Erfassung meist der aufwendigste, aber auch der sicherheitsrelevanteste Teil des Inventars.

Reicht eine Excel-Tabelle als NIS2-konformes Asset-Register?

Ja, sofern sie die Anforderungen aus CIR 12.4 tatsächlich erfüllt: vollständig, genau, aktuell, kohärent, mit nachvollziehbarem Änderungsverlauf. Für kleinere Unternehmen mit überschaubarer Geräteanzahl ist eine gepflegte Tabelle einem ungenutzten Tool vorzuziehen. Ab einer gewissen Größe wird eine Tabelle jedoch unpraktikabel und ein leichtgewichtiges Asset-Tool sinnvoller.

Wie oft muss das Inventar aktualisiert werden?

Die CIR schreibt kein starres Intervall vor, verlangt aber, dass Änderungen nachvollziehbar dokumentiert werden und das Register „aktuell“ bleibt. In der Praxis hat sich eine Aktualisierung bei jedem Zu- oder Abgang plus eine turnusmäßige interne Überprüfung – häufig jährlich oder halbjährlich – bewährt.

Was ist der Unterschied zwischen Asset-Management und Zugangskontrolle nach Art. 21(2)(i)?

Beide Kontrollen sind in derselben gesetzlichen Anforderung zusammengefasst, adressieren aber unterschiedliche Fragen: Asset-Management beantwortet „Was besitzen wir, und wie schützenswert ist es?“, Zugangskontrolle beantwortet „Wer darf darauf zugreifen?“. Die Zugangskontrolle baut inhaltlich auf der Asset-Klassifizierung auf – ohne Kenntnis der Schutzstufe eines Systems lässt sich keine risikoadäquate Zugriffsregel definieren. Details zur personen- und zugriffsbezogenen Seite dieser Anforderung finden Sie im Leitfaden zur NIS2-Zugangssteuerung.

Welche Sanktionen drohen bei einem unvollständigen Asset-Inventar?

Ein lückenhaftes Asset-Management ist Teil der allgemeinen Sicherheitsmaßnahmen nach Art. 21 NIS2 bzw. § 30 BSIG; Verstöße gegen diese Pflichten können mit Bußgeldern nach §§ 65 ff. BSIG geahndet werden – bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen. In der Praxis wird ein fehlendes Inventar selten isoliert sanktioniert, sondern fällt bei einer Prüfung als fehlender Nachweis für die gesamte Risikoanalyse auf.

Wir sind bereits nach ISO 27001 zertifiziert – brauchen wir trotzdem ein separates NIS2-Asset-Inventar?

Nein, in der Regel nicht als separates Dokument. ISO/IEC 27001:2022 verlangt in Kontrolle 5.9 („Inventory of information and other associated assets“) ein vergleichbares Register mit Klassifizierung und Eigentümerschaft. Ein bestehendes ISO-Inventar lässt sich meist direkt erweitern, sofern es zusätzlich die CIR-spezifischen Felder abdeckt – insbesondere die Verknüpfung zu Betriebsabläufen und Diensten nach Abschnitt 12.4 sowie das Lebenszyklus-Konzept nach Abschnitt 12.2. Prüfen Sie in diesem Fall vor allem, ob OT-Anlagen im bestehenden ISO-Scope überhaupt enthalten sind – das ist bei vielen ISO-27001-Umsetzungen nicht der Fall.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen können je nach Unternehmensgröße, Sektor und bestehender IT-Landschaft variieren. Für eine auf Ihr Unternehmen zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie), insbesondere Artikel 21 — EUR-Lex
2. Durchführungsverordnung (EU) 2024/2690 der Kommission, Anhang Abschnitt 12 (Asset Management) — EUR-Lex
3. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen — Bundesministerium der Justiz, Gesetze im Internet
4. NIS-2-regulierte Unternehmen — Informationen und Orientierungshilfen — Bundesamt für Sicherheit in der Informationstechnik (BSI)
5. Technical Implementation Guidance on Cybersecurity Risk-Management Measures — ENISA