NIS2 und das Asset-Management: was das Inventar liefern muss

Von der Richtlinie zum BSI-Gesetz

Die NIS2-Richtlinie (EU) 2022/2555 stammt vom 14. Dezember 2022. Die Mitgliedstaaten sollten sie bis zum 17. Oktober 2024 umsetzen. Deutschland hat das mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 2. Dezember 2025 getan. Es steht im Bundesgesetzblatt 2025 I Nr. 301 und ist am 6. Dezember 2025 in Kraft getreten. Im Entwurf hieß es NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG.

Den Kern bildet Artikel 1, das neu gefasste BSI-Gesetz. Es ist seitdem mehrfach geändert worden. Die letzte Änderung stammt aus einem Gesetz vom 23. Juli 2026. Die folgenden Paragrafen geben den Stand wieder, den gesetze-im-internet.de im September 2026 ausweist.

Die Wortwahl unterscheidet sich auf jeder Ebene. Die Richtlinie spricht vom Management von Anlagen, das BSI-Gesetz von der Verwaltung von IKT-Systemen, -Produkten und -Prozessen und die Durchführungsverordnung vom Anlagen- und Wertemanagement. Das BSI stellt in seiner Umsetzungshilfe klar, dass mit der Formulierung im BSI-Gesetz das Asset-Management gemeint ist.

Wer betroffen ist

§ 28 BSIG unterscheidet besonders wichtige und wichtige Einrichtungen. Entscheidend sind die Tätigkeit nach den Anlagen 1 und 2 und die Größe. Einige Einrichtungsarten sind unabhängig von ihrer Größe erfasst.

Für Telekommunikationsanbieter, bestimmte Energieunternehmen, Finanzunternehmen unter der Verordnung (EU) 2022/2554 und Teile der Telematikinfrastruktur gelten unter anderem die §§ 30, 32 und 38 nicht. Dort greifen eigene Vorschriften, wie § 28 Absätze 5 und 6 BSIG festlegen.

Die Mitarbeiterzahl bestimmt sich nach der Empfehlung 2003/361/EG der EU-Kommission. Gezählt werden Jahresarbeitseinheiten. Teilzeit und unterjährige Beschäftigung zählen anteilig. Auszubildende sowie Zeiten des Mutterschutzes und der Elternzeit bleiben außen vor. Die Zahlen von Partner- oder verbundenen Unternehmen werden nach § 28 Absatz 4 BSIG nicht hinzugerechnet, wenn das Unternehmen bei Beschaffenheit und Betrieb seiner IT von ihnen unabhängig ist. Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, können bei der Zuordnung zu einem Sektor unberücksichtigt bleiben.

Das BSI bietet eine Betroffenheitsprüfung im Netz an. Sie ist eine Orientierungshilfe und rechtlich nicht verbindlich. Ob sie betroffen ist, beurteilt jede Einrichtung selbst.

Registrierung beim BSI

Betroffene Einrichtungen registrieren sich spätestens drei Monate, nachdem sie erstmals oder erneut als betroffen gelten. Für alle, die seit dem Inkrafttreten am 6. Dezember 2025 betroffen sind, endete die Frist am 6. März 2026. Zuerst legt die Einrichtung ein Konto bei „Mein Unternehmenskonto“ an. Danach registriert sie sich im BSI-Portal, das seit dem 6. Januar 2026 freigeschaltet ist.

Zu den Pflichtangaben nach § 33 BSIG gehören neben Name, Rechtsform und Kontaktdaten auch die öffentlichen IP-Adressbereiche. Ändern sich diese Angaben, muss die Einrichtung die Änderung spätestens binnen zwei Wochen übermitteln. Ein gepflegtes Inventar mit Netzplan liefert die Adressbereiche ohne Suche. Wer die Registrierung versäumt, riskiert ein Bußgeld von bis zu 500.000 Euro. Das BSI kann die Registrierung auch selbst vornehmen.

Maßnahmen, Meldungen und die Rolle der Geschäftsleitung

§ 30 Absatz 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Bei der Verhältnismäßigkeit zählen Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Die Einhaltung ist zu dokumentieren. Die Maßnahmen sollen dem Stand der Technik entsprechen und einschlägige europäische und internationale Normen berücksichtigen.

Absatz 2 zählt zehn Mindestmaßnahmen auf, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung. Nummer 9 verlangt Konzepte für die Sicherheit des Personals, für die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Ein solches Konzept ohne gepflegtes Inventar bleibt Papier.

Die Meldepflicht nach § 32 BSIG setzt das Inventar voraus. Eine frühe Erstmeldung ist spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls fällig. Spätestens nach 72 Stunden folgt eine Meldung mit einer ersten Bewertung von Schweregrad und Auswirkungen. Wer diese Bewertung abgeben soll, muss wissen, welche Systeme betroffen sind, wer sie verantwortet und welche Dienste an ihnen hängen. Einen Monat nach der Meldung folgt die Abschlussmeldung. Dauert der Vorfall an, tritt an ihre Stelle zunächst eine Fortschrittsmeldung.

§ 38 BSIG nimmt die Geschäftsleitung in die Pflicht. Sie muss die Maßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts. Außerdem müssen Geschäftsleiterinnen und Geschäftsleiter regelmäßig an Schulungen teilnehmen. Für das Inventar heißt das: Die Geschäftsleitung braucht einen regelmäßigen Bericht über seinen Zustand. Vier Angaben machen einen solchen Bericht aussagekräftig.

• Der Bericht nennt den Anteil der Einträge, die beim letzten Abgleich in allen Quellen übereinstimmten.
• Er listet die offenen Abweichungen mit ihrem Alter. Dazu gehören unbekannte, vermisste und abweichende Geräte.
• Er zeigt überfällige Rückgaben ausgeschiedener Beschäftigter und offene Löschnachweise.
• Er nennt das Datum des letzten Abgleichs und der letzten Inventur.

Die Aufsicht unterscheidet sich nach Kategorie. Gegenüber besonders wichtigen Einrichtungen kann das BSI Audits anordnen und vor Ort prüfen. Die Vorlage von Nachweisen kann es nach § 61 Absatz 3 BSIG frühestens drei Jahre nach Inkrafttreten anordnen, also ab dem 6. Dezember 2028. Bei wichtigen Einrichtungen wird das BSI erst tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten verletzt werden. Das kann ein Sicherheitsvorfall sein. Dann stehen ihm dieselben Befugnisse zu.

Was Nummer 12 der Verordnung 2024/2690 verlangt

Die Durchführungsverordnung (EU) 2024/2690 der EU-Kommission vom 17. Oktober 2024 legt die technischen und methodischen Anforderungen an die Maßnahmen aus Artikel 21 fest. Sie ist am 7. November 2024 in Kraft getreten und gilt unmittelbar. Ihr Anwendungsbereich ist eng: Sie gilt für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen sozialer Netzwerke sowie Vertrauensdiensteanbieter. § 30 Absatz 3 BSIG gibt ihr für diese Einrichtungen Vorrang.

Erwägungsgrund 26 der Verordnung wird noch konkreter. Ein umfassendes Inventar könnte danach für jeden Wert mindestens eine eindeutige Kennung, den Eigentümer, eine Beschreibung, den Standort, die Art des Werts, Art und Klassifizierung der verarbeiteten Informationen, das Datum der letzten Aktualisierung oder des letzten Patches, die Klassifizierung aus der Risikobewertung und das Ende der Lebensdauer enthalten. Zum Eigentümer gehört die Angabe der Person, die für den Schutz des Werts verantwortlich ist.

Artikel 2 Absatz 2 der Verordnung lässt Abweichungen zu, wo eine Anforderung nur gilt, soweit sie angemessen, anwendbar oder durchführbar ist. Hält eine Einrichtung eine solche Anforderung für unangemessen, muss sie die Gründe nachvollziehbar dokumentieren.

Was das Asset-Management liefern muss

Aus Gesetz, Verordnung und Umsetzungshilfe ergeben sich vier Ergebnisse, die das Asset-Management liefern muss. Jedes lässt sich im Audit oder bei einer Prüfung durch das BSI vorlegen.

1. Das Inventar nennt die Dienste und Abläufe der Einrichtung und darunter die Systeme, auf denen sie laufen. Dazu gehören Arbeitsplatzgeräte, Server, Netzkomponenten, Anwendungen, Cloud-Dienste und in der Produktion die Steuerungen.
2. Die Verantwortlichen stehen an jedem Eintrag, und zwar als Person mit Funktion. Scheidet jemand aus, wird die Zuständigkeit neu vergeben, bevor der Zugang endet.
3. Der Lebenslauf zeigt jede Änderung mit Datum, von der Beschaffung über Ausgabe, Ortswechsel und Reparatur bis zur Rückgabe und Aussonderung. Eine Tabelle, deren Zellen überschrieben werden, zeigt diesen Verlauf nicht.
4. Der Abgleich legt die technische Erfassung neben das Inventar. Geräteverwaltung, Verzeichnisdienst und Netzwerkscan liefern, was sich gemeldet hat. Jede Abweichung wird zum Befund mit einer festen Handlung.

Welches System bei welchem Feld das letzte Wort hat, klärt der Leitfaden zu den Schnittstellen im IT-Asset-Management. Wie ein Export aus Intune oder Jamf ins Inventar kommt, zeigt die Seite Geräte aus Intune, Jamf oder einem Netzwerkscan übernehmen. Wer mit einer gewachsenen Tabelle beginnt, findet den Weg in Von Excel zum räumlichen IT-Inventar.

Die Arbeit teilt sich in zwei Hälften. Versionen, Patchstände und Konfigurationen liefert eine Geräteverwaltung oder eine Discovery. Verantwortliche, Orte, Ausgaben und Belege liefert das Asset-Management. Für die zweite Hälfte eignet sich ein Inventar, das Ausgabe, Rücknahme und Aussonderung als belegte Vorgänge führt.

120 Beschäftigte im Maschinenbau

Das Beispiel rechnet mit einem Maschinenbauer an einem Standort mit Büro und Fertigung. Alle Mengen und Zeiten sind Annahmen und lassen sich durch eigene Zahlen ersetzen.

• Das Unternehmen stellt Maschinen her und fällt damit unter Anlage 2 Nummer 5.4 BSIG.
• Es beschäftigt 120 Personen, gerechnet in Jahresarbeitseinheiten, und setzt 24 Millionen Euro um.
• Damit gilt es als wichtige Einrichtung. Besonders wichtig werden nach § 28 Absatz 1 BSIG nur Einrichtungen aus Anlage 1 und die Sonderfälle ohne Größenschwelle.
• Die Verordnung 2024/2690 gilt für das Unternehmen nicht unmittelbar. Sie dient als Orientierung für den Aufbau des Inventars.

Zwei Einträge nach Erwägungsgrund 26

Die Felder aus Erwägungsgrund 26 lassen sich für jede Art von Wert füllen. Der Unterschied liegt in der Quelle der Angabe. Die Tabelle zeigt ein Notebook aus dem Vertrieb und die Steuerung einer Fräsmaschine aus der Halle.

Die Steuerung zeigt, warum ein Export aus der Geräteverwaltung für NIS2 zu kurz greift. Sie meldet sich bei keinem Agenten, hat keinen Eintrag im Verzeichnisdienst und hängt trotzdem im Netz. Ihr Lebensende bestimmt der Support des Herstellers. Diese Angabe fehlt in der Anlagenbuchhaltung und wird deshalb eigens erfasst.

Der größte Einzelposten ist die Festlegung von Verantwortlichen und Schutzbedarf. Er lässt sich nicht an die IT abgeben, weil nur die Bereiche wissen, welche Dienste für den Betrieb kritisch sind. Danach kostet die Pflege weniger als der Aufbau. Mit einem monatlichen Abgleich von vier Stunden, einer jährlichen Inventur von zwei Tagen und einem Tag für Konzepte und Bericht ergeben sich rund neun Personentage im Jahr.

Was in der Praxis schiefgeht

Die folgenden Punkte sind beobachtete Muster beim Aufbau eines Inventars nach NIS2. Sie folgen aus der Struktur typischer Bestände im Mittelstand. Eine Statistik über ihre Häufigkeit gibt es nicht.

1. Das Inventar endet an der Bürotür. Steuerungen in der Fertigung, Gebäudetechnik und Cloud-Dienste fehlen, obwohl sie zu den Netz- und Informationssystemen gehören.
2. Der Export aus der Geräteverwaltung wird zum Inventar erklärt. Geräte ohne Agent, Geräte im Lager und ausgesonderte Geräte fehlen darin, und es gibt weder Verantwortliche noch Orte.
3. Als Verantwortliche steht überall die IT-Abteilung. Damit fehlt die Stelle, die den Schutzbedarf eines Dienstes beurteilen kann.
4. Jede Änderung überschreibt die alte Angabe in der Tabelle. Damit fehlt der Verlauf, den Nummer 12.4 der Verordnung verlangt.
5. Beim Austritt sperrt die IT das Konto. Das Notebook bleibt beim ehemaligen Beschäftigten, und die Rückgabe ist nirgends dokumentiert. Was ein geordnetes Offboarding mit Hardware und Zugängen umfasst, steht im Bereich Arbeitsplatz.
6. Ausgesonderte Geräte verschwinden ohne Löschnachweis aus der Liste. Nach einem Vorfall lässt sich dann nicht mehr zeigen, dass ihre Daten gelöscht waren. Die zwei nötigen Belege beschreibt der Leitfaden Geräte aussondern.
7. Die Geschäftsleitung erfährt vom Stand des Inventars erst im Vorfall. Dabei verlangt § 38 BSIG, dass sie die Umsetzung überwacht.
8. Die öffentlichen IP-Adressbereiche für die Registrierung stammen aus dem Gedächtnis. Ändern sie sich, bleibt die Meldung binnen zwei Wochen aus.

Häufige Fragen