IT-Nachweise und Normen

Warum fünf Nachweise dasselbe Inventar brauchen

Ein Zertifizierungsaudit nach ISO 27001, eine Prüfung nach dem BSI-Gesetz, der Fragebogen einer Cyberversicherung, eine Anfrage der Datenschutzaufsicht und ein Lizenzaudit des Herstellers klingen nach fünf verschiedenen Aufgaben. Gefragt wird aber jedes Mal nach demselben Bestand. Welche Geräte, Programme und Dienste gibt es, wer ist für sie verantwortlich, wo stehen sie, wie sind sie geschützt und was ist am Ende mit ihnen geschehen?

Wer für jeden Anlass eine eigene Liste führt, pflegt fünfmal dasselbe und hat fünf verschiedene Stände. Belastbarer ist ein einziges Inventar, aus dem sich jeder Nachweis ableiten lässt. Diese Rubrik zeigt, was jeder Anlass daraus braucht und wo die Unterschiede liegen.

Die fünf Leitfäden

Welche Angabe welcher Nachweis braucht

Die Abbildung oben ordnet sechs Angaben des Inventars den fünf Anlässen zu. Ein gefülltes Feld heißt, dass Norm, Gesetz, Verordnung oder Musterbedingungen die Angabe ausdrücklich nennen. Ein umrandetes Feld heißt, dass sich der Nachweis ohne die Angabe nicht führen lässt.

• Die Kennung braucht jeder Anlass. Ohne sie lässt sich kein Gerät aus einer Meldung, einem Schadensfall oder einer Stichprobe eindeutig finden.
• Der Verantwortliche ist in ISO 27001 und in den Regeln zu NIS2 ausdrücklich verlangt. Datenschutz und Lizenzaudit brauchen ihn, sobald Geräte oder Lizenzen an Personen hängen.
• Der Ort steht in den Umsetzungshinweisen zu ISO 27001 und in der NIS2-Verordnung. Im Audit entscheidet er darüber, wie lange eine Stichprobe dauert.
• Der Schutzbedarf legt fest, welche Maßnahmen ein Gerät braucht. Die Musterbedingungen der Versicherer verlangen für Mobilgeräte und aus dem Internet erreichbare Server zusätzlichen Schutz.
• Die installierte Software braucht ebenfalls jeder Anlass. Für den Versicherer zählt der Patchstand, und für den Hersteller zählt die Zahl der Installationen.
• Der Aussonderungsnachweis schließt den Lebenslauf ab. Ohne ihn zählt ein entsorgtes Gerät im Lizenzaudit weiter mit, und dem Datenschutz fehlt der Beleg der Löschung.

Was daneben liegt

Diese Rubrik setzt ein Inventar voraus. Wie es entsteht und gepflegt wird, steht in der Rubrik IT-Asset-Management. Der Alltag der Geräte von Kauf und Leasing über Etikett und Rollout bis zur Reparatur steht in der Rubrik IT-Hardware und Beschaffung.

• Die IT-Inventarverwaltung beschreibt die Pflichtfelder eines Bestands und die Belege je Station.
• Die IT-Inventur zeigt, wie ein Rundgang raumweise abläuft und welche vier Ergebnisse er hat.
• Der Leitfaden zum Aussondern von Geräten erklärt die zwei Nachweise am Ende des Lebenslaufs.
• Die Seite zu QR-Etiketten und Inventarnummern beschreibt, wie die Kennung entsteht, auf die sich jeder Nachweis stützt.

Häufige Fragen