Cómo construir el inventario de activos de NIS 2
El artículo 21(2)(i) NIS 2 nombra la gestión de activos y el § 30(2) Nr. 9 BSIG la incorpora al Derecho alemán. El punto 12.4 del CIR fija qué contiene el inventario para los proveedores digitales que abarca. El BSI 200-2 (8.1.1) permite agrupar objetos similares, de modo que se acaba con una lista corta de entradas agrupadas y no con una fila por dispositivo.
La versión corta
NIS 2 nombra la gestión de activos en el artículo 21(2)(i) como una de las diez medidas mínimas de gestión de riesgos; Alemania la incorpora en el § 30(2) Nr. 9 BSIG como un concepto para gestionar los sistemas, productos y procesos de TI. Para los proveedores digitales enumerados en su art. 1, el Reglamento de Ejecución (UE) 2024/2690 lo concreta en el punto 12.4: un inventario completo, exacto y actualizado que enumera las operaciones y los servicios y los sistemas y demás activos que los sustentan, con una granularidad acorde con las necesidades de la entidad y revisado con regularidad. No nombra campos.
La cifra que asusta a la gente (200 servidores, 600 portátiles, 40 herramientas SaaS) se reduce en cuanto se lee el BSI Standard 200-2, apartado 8.1.1. Los objetos del mismo tipo, con tareas y condiciones similares y la misma necesidad de protección, se agrupan en una única entrada. Los 600 portátiles se convierten en una fila con un campo de cantidad, no en 600 filas.
El resultado es una lista corta de entradas agrupadas y no una fila por dispositivo, que abarca TI, OT, SaaS, equipos de red y emplazamientos físicos. Ese registro es la base que referencian la evaluación de riesgos, el registro de proveedores, la política de acceso y el plan de incidentes. Constrúyalo una vez, revíselo con regularidad, actualícelo cuando algo material cambie.
Artículo 21(2)(i) de la Directiva NIS 2 (UE) 2022/2555
[Las medidas incluirán al menos] i) la seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos.
El artículo 21(2)(i) nombra la gestión de activos como una de las diez medidas mínimas que toda besonders wichtige y wichtige Einrichtung tiene que tomar. La Directiva no dice qué aspecto tiene el registro. Para los proveedores digitales enumerados en el art. 1 CIR, ese detalle está una capa más abajo, en el Reglamento de Ejecución.
Reglamento de Ejecución (UE) 2024/2690 de la Comisión, anexo, punto 12.4 (inventario de activos)
12.4.1. Las entidades pertinentes crearán y mantendrán un inventario completo, preciso, actualizado y coherente de sus activos. Registrarán los cambios en las entradas del inventario de manera que puedan rastrearse. 12.4.2. La granularidad del inventario de los activos se situará en un nivel adecuado a las necesidades de las entidades pertinentes. El inventario incluirá lo siguiente: a) la lista de operaciones y servicios y su descripción; b) la lista de sistemas de redes y de información y otros activos asociados que sirvan de apoyo a las operaciones y servicios de las entidades pertinentes. 12.4.3. Las entidades pertinentes revisarán y actualizarán periódicamente el inventario y sus activos y registrarán el historial de cambios.
El CIR 2024/2690 vincula solo a los proveedores digitales enumerados en su art. 1 (DNS, TLD, nube, centros de datos, CDN, MSP, MSSP, mercados en línea, motores de búsqueda, redes sociales, servicios de confianza). El punto 12.4 les pide un inventario completo y actualizado, con una granularidad acorde con sus necesidades, que enumere las operaciones y los servicios y los sistemas que los sustentan, revisado con regularidad. No nombra campos ni intervalos. Para cualquier otra entidad, el § 30(2) Nr. 9 BSIG pide un concepto para gestionar los sistemas, productos y procesos de TI, sin prescribir una forma.
§ 30(2) Nr. 9 BSIG (Alemania) + BSI Standard 200-2, apartado 8.1.1 (método recomendado)
§ 30 Abs. 2 Nr. 9 BSIG: Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. BSI 200-2, 8.1.1: 'Ähnliche Objekte sollten deshalb sinnvoll zu Gruppen zusammengefasst werden.' Los objetos pueden compartir un grupo si son del mismo tipo, tienen tareas similares, están sujetos a condiciones similares y tienen la misma necesidad de protección.
El § 30(2) Nr. 9 BSIG incorpora el artículo 21(2)(i) al Derecho alemán; según la exposición de motivos, la 'Verwaltung von IKT-Systemen, -Produkten und -Prozessen' describe lo que técnicamente se llama gestión de activos (BT-Drs. 21/1501, p. 148). El BSI Standard 200-2 (apartado 8.1) explica cómo se realiza la Strukturanalyse: los objetos del mismo tipo, con tareas y condiciones similares y la misma necesidad de protección, se agrupan en una única entrada. Esa es la regla que convierte 600 portátiles en una fila del registro.
Empiece por los procesos, no por el escaneo de red
Anote los procesos de negocio de los que depende la empresa (recepción de pedidos, facturación, nóminas, atención al cliente, la línea de producción, el control de la calefacción urbana, la asignación de rutas). Para cada uno, nombre las dependencias. Este es el punto de entrada que el BSI 200-2 llama Strukturanalyse. El mapa de procesos fija qué activos importan y cuál es su necesidad de protección. Un escaneo de red iniciado en frío le da ruido, no un registro.
Enumere los activos de los que depende cada proceso, agrupados
Recorra cada proceso y capture los activos que necesita: aplicaciones, bases de datos, servidores, endpoints, equipos de red, servicios en la nube y SaaS, componentes OT e ICS, emplazamientos físicos. Aplique el BSI 200-2, apartado 8.1.1: 45 portátiles de oficina idénticos son una entrada con un campo de cantidad, no 45 filas. Tres PLC idénticos en la misma línea son una entrada. Los servicios SaaS cuentan aunque no estén en su red. El resultado es una lista corta de entradas agrupadas y no una fila por dispositivo.
Rellene unos pocos campos por entrada
Para cada entrada, registre lo que necesita para gestionarla. La guía de ENISA sugiere, entre otros: un identificador único (un ID de activo corto como ERP-01), una descripción (qué es y a qué proceso sirve), un propietario (una persona con nombre, no un departamento), una clasificación (cuánta protección necesita en confidencialidad, integridad y disponibilidad, derivada del proceso al que sirve) y una ubicación (centro de datos, región de la nube, emplazamiento físico o el proveedor que lo aloja). Proceden de una lista indicativa, no de la ley.
Agrupe los activos idénticos, no enumere cada dispositivo
El BSI Standard 200-2 (8.1.1) dice que los objetos similares deben agruparse cuando son del mismo tipo, tienen tareas y condiciones similares y la misma necesidad de protección. Úselo. 600 portátiles en el mismo perfil de MDM con el mismo Schutzbedarf son una entrada del registro. Tres PLC idénticos de bombas de aguas residuales son una entrada. Un grupo de estaciones de trabajo VDI idénticas es una entrada. El registro debe mostrar que usted entiende sus dependencias, no enumerar etiquetas de activos.
Inventaríe las dependencias, no solo las cosas que posee
Un propietario y una necesidad de protección solo tienen sentido cuando se sabe a qué proceso sirve el activo. El punto 12.4.2(a) del CIR enumera primero las operaciones y los servicios, y el BSI 200-2 parte de los procesos de negocio. Por eso mapee primero los procesos y después los activos. Lo mismo vale para el SaaS: una herramienta que no posee pero de la que depende su facturación pertenece al inventario, alojada por el proveedor nombrado.
BSI: Strukturanalyse más Gruppenbildung como método recomendado
La metodología IT-Grundschutz del BSI (Standard 200-2, apartado 8.1) empieza con la Strukturanalyse y usa la agrupación (8.1.1) para mantenerla manejable. Es un método recomendado, no un requisito legal.
ENISA Technical Implementation Guidance: gestión de activos sección 12
La Technical Implementation Guidance de ENISA para el CIR 2024/2690 trata la gestión de activos en la sección 12. Para el punto 12.4 sugiere campos a considerar (una lista indicativa que incluye un identificador único, propietario, descripción, ubicación y clasificación). La tabla de correspondencia de ENISA (CC BY 4.0, v1.2, agosto de 2025) vincula el punto 12.4 con ISO/IEC 27001:2022 A.5.9, NIST CSF 2.0 ID.AM y ETSI EN 319 401 cláusula 7.3.
Otros Estados miembros: ISO/IEC 27001:2022 Anexo A.5.9 como punto de partida
El punto 12.4 del CIR se aplica directamente en todos los Estados miembros, pero solo a los proveedores digitales enumerados en el art. 1 CIR; las leyes nacionales recogen con sus propias palabras el deber general de gestión de activos del art. 21(2)(i). La correspondencia de ENISA vincula el punto 12.4 con ISO/IEC 27001:2022 A.5.9, por lo que un registro ISO es un buen punto de partida; ENISA precisa que la correspondencia no es una medida de equivalencia.
Enumeraremos cada dispositivo individualmente para que el registro esté completo.
No. El BSI 200-2 (8.1.1) recomienda agrupar objetos similares. Un registro con 600 filas de portátiles es difícil de leer y no añade ninguna información que un registro agrupado corto no lleve ya.
El SaaS es invisible porque no está en nuestra red, así que lo omitimos.
Erróneo. El punto 12.4.2(b) del CIR abarca los sistemas de red y de información y demás activos asociados que sustentan sus operaciones y servicios, y un servicio SaaS del que depende su facturación es uno de ellos. Regístrelo como una entrada con el proveedor y la región como ubicación (por ejemplo, Salesforce, eu-west), y mantenga al proveedor también en su lista de proveedores.
Podemos construir el registro a partir del escaneo de red y añadir los propietarios después.
Puede, pero el campo de propietario quedará vacío y el nivel de protección será una conjetura. El punto 12.4.2(a) del CIR parte de la lista de operaciones y servicios, y el BSI 200-2 empieza la Strukturanalyse por los procesos de negocio (8.1.2). Sin ese paso ningún proceso apunta a una entrada, de modo que nadie puede decir quién es su propietario ni cuánta protección necesita.
Ejemplo inventado, no una empresa real. Una empresa de construcción de máquinas de 60 empleados mapea once procesos de negocio (recepción de pedidos, diseño, compras, línea de producción A, línea de producción B, calidad, expedición, facturación, nóminas, atención al cliente, servicio remoto posventa). El recorrido de activos produce doce entradas agrupadas: ERP (una), CAD y PLM (una), MES en el taller (una), servidores de archivos e impresión (una, tres equipos idénticos), la flota de 50 portátiles bajo un único perfil de MDM (una), dos familias de controladores CNC agrupadas (dos), el equipo de red central (una), Microsoft 365 (una), el SaaS de atención al cliente (una), el dispositivo VPN de posventa (una) y el emplazamiento físico (una). Doce entradas que cubren TI y OT, cada una con un propietario nombrado, una necesidad de protección y una ubicación conocida.
Las mismas doce entradas son la columna vertebral del registro de riesgos, el registro de proveedores, la política de acceso, el plan de BCM y el runbook de respuesta a incidentes. Para esto no hace falta un proyecto de CMDB: el punto 12.4 del CIR no nombra campos, y el BSI 200-2 (8.1.1) permite agrupar.
- Directiva (UE) 2022/2555 (NIS 2), artículo 21(2)(i): las medidas mínimas de gestión de riesgos incluyen la seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, anexo, punto 12.4 (inventario de activos): un inventario completo, exacto, actualizado y coherente, con una granularidad acorde con las necesidades de la entidad, que enumere las operaciones y los servicios y los sistemas que los sustentan, revisado con regularidad. Vincula a los tipos de entidad del art. 1 CIR.
- BSIG (Alemania), §30 (Risikomanagementmaßnahmen) Abs. 2 Nr. 9, que transpone el artículo 21(2)(i) NIS 2; exposición de motivos BT-Drs. 21/1501, p. 148 (gestión de activos).
- BSI Standard 200-2 (IT-Grundschutz-Methodik), apartado 8.1.1 (Komplexitätsreduktion durch Gruppenbildung): los objetos similares se agrupan cuando son del mismo tipo, tienen tareas similares, están sujetos a condiciones similares y tienen la misma necesidad de protección.
- ISO/IEC 27001:2022 Anexo A.5.9 (Inventario de información y otros activos asociados), vinculado al punto 12.4 del CIR en la tabla de correspondencia de ENISA (v1.2, agosto de 2025); ENISA precisa que la correspondencia no es una medida de equivalencia.
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Risk Management
Rate your risks
Place every piece of software, every device and every supplier on the matrix.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
