Asset Inventory
Vollständige IT-Asset-Liste für ISMS
TL;DR
Asset Inventory ist die strukturierte Erfassung aller schützenswerten IT-Vermögenswerte. ISO 27001 (5.9) + NIS2 § 30 Abs. 2 Nr. 1 verlangen vollständige Inventarisierung.
Was ist Asset Inventory?
Asset-Klassen:
- Hardware (Server, PCs, Mobile)
- Software (Lizenzen, Versionen)
- Daten (Klassifikation, Eigentümer)
- Cloud-Services (SaaS, IaaS)
- Netzwerk (Switches, Router, FW)
- Personen (mit Zugriff)
Tools: GLPI, Snipe-IT, Microsoft Intune, Lansweeper.
Rechtslage: Deutschland und Österreich
Eine vollständige Asset-Inventarisierung ist Grundlage der Risikomanagementmaßnahmen, die NIS2 für besonders wichtige und wichtige Einrichtungen verlangt. Die NIS-2-Richtlinie (RL (EU) 2022/2555) ist in Deutschland und Österreich jeweils eigenständig umgesetzt — die Pflicht ist inhaltlich gleich, Paragraphen und Aufsichtsbehörde unterscheiden sich.
Deutschland
Nach § 30 Abs. 1 und Abs. 2 BSIG (BSI-Gesetz 2025) müssen besonders wichtige und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen; der Mindestkatalog in § 30 Abs. 2 Nr. 1 bis 10 umfasst u. a. Risikoanalyse und Sicherheit der IT-Systeme sowie die Verwaltung von IKT-Systemen — beides setzt eine vollständige Inventarisierung der Assets voraus. Aufsicht: Bundesamt für Sicherheit in der Informationstechnik (BSI).
Österreich
In Österreich gilt das NISG 2026 (BGBl. I Nr. 94/2025). Wesentliche und wichtige Einrichtungen haben nach § 32 Abs. 1 geeignete und verhältnismäßige Risikomanagementmaßnahmen umzusetzen; der Mindestkatalog in § 32 Abs. 4 lit. a bis j entspricht dem EU-Katalog (u. a. Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity) und setzt eine vollständige Asset- und IKT-Verwaltung voraus. Aufsicht: Cybersicherheitsbehörde.
Praxisbeispiel
KMU mit 80 MA inventarisiert: 95 Endgeräte, 23 Server, 47 SaaS-Tools, 12 Datenklassen, 134 Nutzerkonten. Quartalsweises Update.