How to build the NIS 2 asset inventory
Artikel 21(2)(i) NIS 2 noemt assetbeheer en § 30 Abs. 2 Nr. 9 BSIG neemt het over in Duits recht. CIR punt 12.4 bepaalt wat de inventaris bevat voor de digitale aanbieders die het dekt. BSI 200-2 (8.1.1) laat u vergelijkbare objecten groeperen, zodat u uitkomt op een korte lijst van gegroepeerde vermeldingen in plaats van één rij per apparaat.
The short version
NIS 2 noemt assetbeheer in Artikel 21(2)(i) als een van de tien minimale risicobeheersmaatregelen; Duitsland neemt het over in § 30 Abs. 2 Nr. 9 BSIG als concept voor het beheer van IT-systemen, -producten en -processen. Voor de digitale aanbieders die in Art. 1 zijn genoemd, maakt Uitvoeringsverordening (EU) 2024/2690 het concreet in punt 12.4: een volledige, nauwkeurige, actuele inventaris die de bedrijfsprocessen en diensten en de systemen en andere assets erachter opsomt, met een detailniveau dat past bij de behoeften van de entiteit, regelmatig getoetst. Velden noemt zij niet.
Het getal dat mensen afschrikt (200 servers, 600 laptops, 40 SaaS-tools) krimpt zodra u BSI Standard 200-2 paragraaf 8.1.1 leest. Objecten van hetzelfde type, met vergelijkbare taken en omstandigheden en dezelfde beschermingsbehoefte, worden gegroepeerd in één vermelding. De 600 laptops worden één rij met een veld voor het aantal, geen 600 rijen.
Het resultaat is een korte lijst van gegroepeerde vermeldingen in plaats van één rij per apparaat, verspreid over IT, OT, SaaS, netwerkapparatuur en fysieke locaties. Dat register is het fundament waarnaar risicobeoordeling, leveranciersregister, toegangsbeleid en incidentplan allemaal verwijzen. Bouw het één keer, toets het regelmatig, werk het bij wanneer er iets wezenlijks verandert.
Artikel 21(2)(i) NIS 2-richtlijn (EU) 2022/2555
[De maatregelen omvatten ten minste] i) beveiliging van het personeel, beleid inzake toegangscontrole en assetbeheer.
Artikel 21(2)(i) noemt assetbeheer als een van de tien minimale maatregelen die elke essentiële en belangrijke entiteit moet nemen. De richtlijn zegt niet hoe het register eruitziet. Voor de digitale aanbieders die in Art. 1 CIR zijn genoemd, staat dat detail een laag dieper, in de uitvoeringsverordening.
Uitvoeringsverordening (EU) 2024/2690 van de Commissie, bijlage punt 12.4 (assetinventaris)
12.4.1. De relevante entiteiten stellen een volledige, nauwkeurige, actuele en consistente inventaris van hun activa op en houden deze bij. Zij registreren wijzigingen in de inventarisgegevens op traceerbare wijze. 12.4.2. De granulariteit van de inventaris van activa moet afgestemd zijn op de behoeften van de relevante entiteiten. De inventaris omvat het volgende: a) de lijst van verrichtingen en diensten en de beschrijving daarvan; b) de lijst van netwerk- en informatiesystemen en andere bijbehorende activa ter ondersteuning van de activiteiten en diensten van de relevante entiteiten. 12.4.3. De relevante entiteiten evalueren en actualiseren de inventaris en hun activa regelmatig en documenteren de geschiedenis van de wijzigingen.
CIR 2024/2690 bindt alleen de digitale aanbieders die in Art. 1 zijn genoemd (DNS, TLD, cloud, datacenters, CDN's, MSP's, MSSP's, online marktplaatsen, zoekmachines, sociale netwerken, vertrouwensdiensten). Punt 12.4 vraagt hen om een volledige, actuele inventaris met een detailniveau dat past bij hun behoeften, met bedrijfsprocessen en diensten en de systemen erachter, regelmatig getoetst. Het noemt geen velden en geen interval. Voor elke andere entiteit vraagt § 30 Abs. 2 Nr. 9 BSIG om een concept voor het beheer van IT-systemen, -producten en -processen, zonder een vorm voor te schrijven.
§ 30 Abs. 2 Nr. 9 BSIG (Duitsland) + BSI Standard 200-2 paragraaf 8.1.1 (aanbevolen methode)
§ 30 Abs. 2 Nr. 9 BSIG: Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. BSI 200-2, 8.1.1: 'Ähnliche Objekte sollten deshalb sinnvoll zu Gruppen zusammengefasst werden.' Objecten kunnen een groep delen als ze van hetzelfde type zijn, vergelijkbare taken hebben, onder vergelijkbare omstandigheden vallen en dezelfde beschermingsbehoefte hebben.
§ 30 Abs. 2 Nr. 9 BSIG neemt Artikel 21(2)(i) over in Duits recht; de memorie van toelichting zegt dat 'Verwaltung von IKT-Systemen, -Produkten und -Prozessen' beschrijft wat vakmatig assetbeheer heet (BT-Drs. 21/1501, p. 148). BSI Standard 200-2 (paragraaf 8.1) legt uit hoe de structuuranalyse wordt uitgevoerd: objecten van hetzelfde type, met vergelijkbare taken en omstandigheden en dezelfde beschermingsbehoefte, worden gegroepeerd in één vermelding. Dat is de regel die van 600 laptops één registerrij maakt.
Start from the processes, not from the network scan
Schrijf de bedrijfsprocessen op waarvan het bedrijf afhankelijk is (orderontvangst, facturering, salarisadministratie, klantenservice, de productielijn, aansturing van stadsverwarming, ritplanning). Benoem voor elk de afhankelijkheden. Dit is het startpunt dat BSI 200-2 Strukturanalyse noemt. De procesmap bepaalt welke assets ertoe doen en wat hun beschermingsbehoefte is. Een netwerkscan die u koud start, levert ruis op, geen register.
List the assets each process depends on, grouped
Loop elk proces langs en leg de assets vast die het nodig heeft: applicaties, databases, servers, eindpunten, netwerkapparatuur, cloud- en SaaS-diensten, OT- en ICS-componenten, fysieke locaties. Pas BSI 200-2 paragraaf 8.1.1 toe: 45 identieke kantoorlaptops zijn één vermelding met een veld voor het aantal, geen 45 rijen. Drie identieke PLC's aan dezelfde lijn zijn één vermelding. SaaS-diensten tellen mee, ook al staan ze niet op uw netwerk. De uitkomst is een korte lijst van gegroepeerde vermeldingen in plaats van één rij per apparaat.
Vul per vermelding een paar velden in
Leg voor elke vermelding vast wat u nodig hebt om hem te beheren. De richtsnoeren van ENISA stellen onder meer voor: een unieke ID (een korte asset-ID zoals ERP-01), een beschrijving (wat het is en welk proces het dient), een eigenaar (een benoemde persoon, geen afdeling), een classificatie (hoeveel bescherming het nodig heeft in vertrouwelijkheid, integriteit en beschikbaarheid, afgeleid van het proces dat het dient) en een locatie (datacenter, cloudregio, fysieke locatie of de leverancier die het host). Dit komt uit een indicatieve lijst, niet uit de wet.
Group identical assets, do not enumerate every device
BSI Standard 200-2 (8.1.1) zegt dat vergelijkbare objecten gegroepeerd moeten worden als ze van hetzelfde type zijn, vergelijkbare taken en omstandigheden hebben en dezelfde beschermingsbehoefte. Gebruik dat. 600 laptops in hetzelfde MDM-profiel met dezelfde beschermingsbehoefte zijn één registervermelding. Drie identieke PLC's van afvalwaterpompen zijn één vermelding. Een pool identieke VDI-werkplekken is één vermelding. Het register moet laten zien dat u uw afhankelijkheden begrijpt, niet een opsomming van assettags zijn.
Inventory the dependencies, not just the things you own
Een eigenaar en een beschermingsbehoefte hebben pas zin als u weet welk proces de asset dient. Punt 12.4.2(a) CIR noemt eerst bedrijfsprocessen en diensten, en BSI 200-2 begint bij de bedrijfsprocessen. Breng dus eerst processen in kaart en daarna assets. Hetzelfde geldt voor SaaS: een tool die u niet bezit maar waarvan uw facturering afhangt, hoort in de inventaris, gehost door de genoemde leverancier.
BSI: structuuranalyse plus groepering als aanbevolen methode
De IT-Grundschutz-methodiek van het BSI (Standard 200-2, paragraaf 8.1) begint met de structuuranalyse en gebruikt groepering (8.1.1) om die beheersbaar te houden. Het is een aanbevolen methode, geen wettelijke eis.
ENISA Technical Implementation Guidance: asset management section 12
ENISA's Technical Implementation Guidance for CIR 2024/2690 behandelt assetbeheer in paragraaf 12. Voor punt 12.4 stelt zij velden voor om te overwegen (een indicatieve lijst met onder meer een unieke ID, eigenaar, beschrijving, locatie en classificatie). De mappingtabel van ENISA (CC BY 4.0, v1.2, augustus 2025) koppelt punt 12.4 aan ISO/IEC 27001:2022 A.5.9, NIST CSF 2.0 ID.AM en ETSI EN 319 401 clausule 7.3.
Andere lidstaten: ISO/IEC 27001:2022 A.5.9 als uitgangspunt
Punt 12.4 CIR is in elke lidstaat rechtstreeks van toepassing, maar alleen op de digitale aanbieders die in Art. 1 CIR zijn genoemd; nationale wetten nemen de algemene assetbeheerplicht van Art. 21(2)(i) in eigen woorden over. De mapping van ENISA koppelt punt 12.4 aan ISO/IEC 27001:2022 A.5.9, dus een ISO-register is een goed uitgangspunt; ENISA stelt dat de mapping geen maatstaf voor gelijkwaardigheid is.
We will list every device individually so the register is complete.
Nee. BSI 200-2 (8.1.1) beveelt aan vergelijkbare objecten te groeperen. Een register met 600 laptoprijen is moeilijk leesbaar en voegt geen informatie toe die een kort gegroepeerd register niet al bevat.
SaaS is invisible because it is not on our network, so we skip it.
Fout. Punt 12.4.2(b) CIR omvat de netwerk- en informatiesystemen en andere bijbehorende assets die uw bedrijfsprocessen en diensten ondersteunen, en een SaaS-dienst waarvan uw facturering afhangt, is er een van. Voer hem in als één vermelding met de leverancier en regio als locatie (bijvoorbeeld Salesforce, eu-west), en houd de leverancier ook bij op uw leverancierslijst.
We can build the register from the network scan and add owners later.
Dat kan, maar het eigenaarsveld blijft leeg en de beschermingsbehoefte wordt een gok. Punt 12.4.2(a) CIR laat de inventaris beginnen bij de lijst van bedrijfsprocessen en diensten, en BSI 200-2 laat de structuuranalyse beginnen bij de bedrijfsprocessen (8.1.2). Zonder die stap wijst geen proces naar een vermelding, dus niemand kan zeggen wie de eigenaar is of hoeveel bescherming hij nodig heeft.
Verzonnen voorbeeld, geen echt bedrijf. Een machinebouwbedrijf met 60 medewerkers brengt elf bedrijfsprocessen in kaart (orderontvangst, ontwerp, inkoop, productielijn A, productielijn B, kwaliteit, verzending, facturering, salarisadministratie, klantenservice, after-sales service op afstand). De assetronde levert twaalf gegroepeerde vermeldingen op: ERP (één), CAD en PLM (één), MES op de werkvloer (één), bestands- en printservers (één, drie identieke machines), de vloot van 50 laptops onder één MDM-profiel (één), twee gegroepeerde CNC-besturingsfamilies (twee), de centrale netwerkapparatuur (één), Microsoft 365 (één), de SaaS voor klantenservice (één), de VPN-appliance voor after-sales (één) en de fysieke locatie (één). Twaalf vermeldingen voor IT en OT, elk met een benoemde eigenaar, een beschermingsbehoefte en een bekende locatie.
Dezelfde twaalf vermeldingen vormen de ruggengraat van het risicoregister, het leveranciersregister, het toegangsbeleid, het BCM-plan en het draaiboek voor incidentrespons. Een CMDB-project is hiervoor niet nodig: punt 12.4 CIR noemt geen velden, en BSI 200-2 (8.1.1) laat u groeperen.
- Richtlijn (EU) 2022/2555 (NIS 2), artikel 21(2)(i): de minimale risicobeheersmaatregelen omvatten beveiliging van het personeel, beleid inzake toegangscontrole en assetbeheer.
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024, bijlage punt 12.4 (assetinventaris): een volledige, nauwkeurige, actuele en consistente inventaris, met een detailniveau dat past bij de behoeften van de entiteit, met bedrijfsprocessen en diensten en de systemen die deze ondersteunen, regelmatig getoetst. Bindt de entiteitstypen in Art. 1 CIR.
- BSIG (Duitsland), §30 (Risikomanagementmaßnahmen) Abs. 2 Nr. 9, omzetting van artikel 21(2)(i) NIS 2; memorie van toelichting BT-Drs. 21/1501, p. 148 (assetbeheer).
- BSI Standard 200-2 (IT-Grundschutz-Methodik), paragraaf 8.1.1 (Komplexitätsreduktion durch Gruppenbildung): vergelijkbare objecten worden gegroepeerd als ze van hetzelfde type zijn, vergelijkbare taken hebben, onder vergelijkbare omstandigheden vallen en dezelfde beschermingsbehoefte hebben.
- ISO/IEC 27001:2022 Annex A.5.9 (Inventory of information and other associated assets), gekoppeld aan CIR punt 12.4 in de mappingtabel van ENISA (v1.2, augustus 2025); ENISA stelt dat de mapping geen maatstaf voor gelijkwaardigheid is.
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Risk Management
Rate your risks
Place every piece of software, every device and every supplier on the matrix.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
