Come costruire l'inventario degli asset NIS 2
L'Articolo 21(2)(i) NIS 2 nomina la gestione degli asset e il § 30(2) Nr. 9 BSIG lo recepisce nel diritto tedesco. Il punto 12.4 del CIR fissa cosa contiene l'inventario per i fornitori digitali che copre. Il BSI 200-2 (8.1.1) consente di raggruppare oggetti simili, quindi si finisce con un breve elenco di voci raggruppate e non con una riga per dispositivo.
La versione breve
La NIS 2 nomina la gestione degli asset all'Articolo 21(2)(i) come una delle dieci misure minime di gestione del rischio; la Germania la recepisce nel § 30(2) Nr. 9 BSIG come concetto per la gestione di sistemi, prodotti e processi IT. Per i fornitori digitali elencati nel suo art. 1, il Regolamento di esecuzione (UE) 2024/2690 la rende concreta al punto 12.4: un inventario completo, accurato e aggiornato che elenca le operazioni e i servizi e i sistemi e gli altri asset che li supportano, con una granularità adeguata alle esigenze del soggetto e riesaminato regolarmente. Non indica alcun campo.
Il numero che spaventa le persone (200 server, 600 laptop, 40 strumenti SaaS) si riduce una volta letta la sezione 8.1.1 del BSI Standard 200-2. Oggetti dello stesso tipo, con compiti e condizioni simili e la stessa esigenza di protezione, vengono raggruppati in un'unica voce. I 600 laptop diventano una riga con un campo quantità, non 600 righe.
Il risultato è un breve elenco di voci raggruppate e non una riga per dispositivo, che abbraccia IT, OT, SaaS, apparati di rete e siti fisici. Quel registro è la fondazione a cui fanno riferimento la valutazione del rischio, il registro dei fornitori, la politica degli accessi e il piano di risposta agli incidenti. Costruitelo una volta, rivedetelo regolarmente, aggiornatelo quando cambia qualcosa di rilevante.
Articolo 21(2)(i) Direttiva NIS 2 (UE) 2022/2555
[Le misure comprendono almeno] (i) la sicurezza delle risorse umane, le politiche di controllo dell'accesso e la gestione degli attivi.
L'Articolo 21(2)(i) nomina la gestione degli asset come una delle dieci misure minime che ogni besonders wichtige e wichtige Einrichtung deve adottare. La Direttiva non dice come si presenta il registro. Per i fornitori digitali elencati nell'art. 1 CIR, quel dettaglio si trova un livello più in basso, nel Regolamento di esecuzione.
Regolamento di esecuzione (UE) 2024/2690 della Commissione, Allegato punto 12.4 (inventario degli asset)
12.4.1. I soggetti pertinenti devono realizzare e mantenere un inventario completo, accurato, aggiornato e coerente delle loro risorse. Essi devono registrare le modifiche delle voci dell'inventario in modo tracciabile. 12.4.2. La granularità dell'inventario delle risorse deve essere adeguata alle esigenze dei soggetti pertinenti. L'inventario deve comprendere gli elementi seguenti: a) l'elenco delle operazioni e dei servizi e la loro descrizione; b) l'elenco dei sistemi informativi e di rete e delle altre risorse associate a sostegno delle operazioni e dei servizi dei soggetti pertinenti. 12.4.3. I soggetti pertinenti devono riesaminare e aggiornare periodicamente l'inventario e le loro risorse e documentare la cronologia delle modifiche.
Il CIR 2024/2690 vincola solo i fornitori digitali elencati nel suo art. 1 (DNS, TLD, cloud, centri dati, CDN, MSP, MSSP, marketplace online, motori di ricerca, social network, servizi fiduciari). Il punto 12.4 chiede loro un inventario completo e aggiornato, con una granularità adeguata alle proprie esigenze, che elenchi operazioni e servizi e i sistemi che li supportano, riesaminato regolarmente. Non indica alcun campo né alcun intervallo. Per ogni altro soggetto, il § 30(2) Nr. 9 BSIG chiede un concetto per la gestione di sistemi, prodotti e processi IT, senza prescriverne la forma.
§ 30(2) Nr. 9 BSIG (Germania) + BSI Standard 200-2 sezione 8.1.1 (metodo raccomandato)
§ 30 Abs. 2 Nr. 9 BSIG: Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. BSI 200-2, 8.1.1: 'Ähnliche Objekte sollten deshalb sinnvoll zu Gruppen zusammengefasst werden.' Gli oggetti possono condividere un gruppo se sono dello stesso tipo, hanno compiti simili, sono soggetti a condizioni simili e hanno la stessa esigenza di protezione.
Il § 30(2) Nr. 9 BSIG recepisce l'Articolo 21(2)(i) nel diritto tedesco; la motivazione della legge afferma che 'Verwaltung von IKT-Systemen, -Produkten und -Prozessen' descrive ciò che tecnicamente si chiama gestione degli asset (BT-Drs. 21/1501, p. 148). Il BSI Standard 200-2 (sezione 8.1) spiega come si svolge l'analisi della struttura: oggetti dello stesso tipo, con compiti e condizioni simili e la stessa esigenza di protezione, vengono raggruppati in un'unica voce. È questa la regola che trasforma 600 laptop in una sola riga di registro.
Partite dai processi, non dalla scansione di rete
Annotate i processi aziendali da cui l'azienda dipende (acquisizione ordini, fatturazione, buste paga, assistenza clienti, la linea di produzione, il controllo del teleriscaldamento, lo smistamento delle rotte). Per ciascuno, nominate le dipendenze. Questo è il punto di ingresso che il BSI 200-2 chiama Strukturanalyse. La mappa dei processi stabilisce quali asset contano e qual è la loro esigenza di protezione. Una scansione di rete avviata a freddo vi dà rumore, non un registro.
Elencate gli asset da cui dipende ciascun processo, raggruppati
Percorrete ogni processo e catturate gli asset di cui ha bisogno: applicazioni, database, server, endpoint, apparati di rete, servizi cloud e SaaS, componenti OT e ICS, siti fisici. Applicate il BSI 200-2 sezione 8.1.1: 45 laptop d'ufficio identici sono una voce con un campo quantità, non 45 righe. Tre PLC identici sulla stessa linea sono una voce. I servizi SaaS contano anche se non sono sulla vostra rete. L'output è un breve elenco di voci raggruppate e non una riga per dispositivo.
Compilate pochi campi per voce
Per ogni voce, registrate ciò che vi serve per gestirla. Le indicazioni dell'ENISA suggeriscono, tra gli altri: un identificatore univoco (un breve ID asset come ERP-01), una descrizione (cos'è e quale processo serve), un proprietario (una persona nominata, non un reparto), una classificazione (quanta protezione richiede in riservatezza, integrità e disponibilità, derivata dal processo che serve) e un'ubicazione (data center, regione cloud, sito fisico, o il fornitore che lo ospita). Provengono da un elenco indicativo, non dalla legge.
Raggruppate asset identici, non enumerate ogni dispositivo
Il BSI Standard 200-2 (8.1.1) dice che gli oggetti simili vanno raggruppati quando sono dello stesso tipo, hanno compiti e condizioni simili e hanno la stessa esigenza di protezione. Usatelo. 600 laptop nello stesso profilo MDM con lo stesso Schutzbedarf sono un'unica voce di registro. Tre PLC identici di pompe per le acque reflue sono una voce. Un insieme di workstation VDI identiche è una voce. Il registro deve mostrare che comprendete le vostre dipendenze, non elencare etichette di asset.
Inventariate le dipendenze, non solo le cose che possedete
Un proprietario e un'esigenza di protezione hanno senso solo se sapete quale processo l'asset serve. Il punto 12.4.2(a) CIR elenca per prime le operazioni e i servizi, e il BSI 200-2 parte dai processi aziendali. Quindi mappate prima i processi e poi gli asset. La stessa regola copre il SaaS: uno strumento che non possedete ma da cui la vostra fatturazione dipende rientra nell'inventario, ospitato dal fornitore nominato.
BSI: analisi della struttura più raggruppamento come metodo raccomandato
La metodologia IT-Grundschutz del BSI (Standard 200-2, sezione 8.1) parte dall'analisi della struttura e usa il raggruppamento (8.1.1) per mantenerla gestibile. È un metodo raccomandato, non un requisito di legge.
Guida tecnica di attuazione dell'ENISA: sezione 12 sulla gestione degli asset
La Guida tecnica di attuazione dell'ENISA per il CIR 2024/2690 tratta la gestione degli asset nella sezione 12. Per il punto 12.4 suggerisce campi da considerare (un elenco indicativo che comprende identificatore univoco, proprietario, descrizione, ubicazione e classificazione). La tabella di mappatura dell'ENISA (CC BY 4.0, v1.2, agosto 2025) collega il punto 12.4 alla ISO/IEC 27001:2022 A.5.9, al NIST CSF 2.0 ID.AM e alla ETSI EN 319 401 clausola 7.3.
Altri Stati membri: la ISO/IEC 27001:2022 A.5.9 come punto di partenza
Il punto 12.4 CIR si applica direttamente in ogni Stato membro, ma solo ai fornitori digitali elencati nell'art. 1 CIR; le leggi nazionali recepiscono l'obbligo generale di gestione degli asset dell'art. 21(2)(i) con parole proprie. La mappatura dell'ENISA collega il punto 12.4 alla ISO/IEC 27001:2022 A.5.9, quindi un registro ISO è un buon punto di partenza; l'ENISA precisa che la mappatura non è una misura di equivalenza.
Elencheremo ogni dispositivo singolarmente così il registro è completo.
No. Il BSI 200-2 (8.1.1) raccomanda di raggruppare gli oggetti simili. Un registro con 600 righe di laptop è difficile da leggere e non aggiunge alcuna informazione che un breve registro raggruppato non porti già.
Il SaaS è invisibile perché non è sulla nostra rete, quindi lo saltiamo.
Sbagliato. Il punto 12.4.2(b) CIR copre i sistemi informatici e di rete e gli altri asset associati a supporto delle vostre operazioni e dei vostri servizi, e un servizio SaaS da cui dipende la vostra fatturazione è uno di questi. Inseritelo come una voce con il fornitore e la regione come ubicazione (ad esempio Salesforce, eu-west), e tenete il fornitore anche nel vostro elenco dei fornitori.
Possiamo costruire il registro dalla scansione di rete e aggiungere i proprietari in seguito.
Potete, ma il campo proprietario resterà vuoto e l'esigenza di protezione sarà una stima. Il punto 12.4.2(a) CIR fa partire l'inventario dall'elenco delle operazioni e dei servizi, e il BSI 200-2 fa partire l'analisi della struttura dai processi aziendali (8.1.2). Senza questo passo nessun processo punta a una voce, quindi nessuno sa dire chi ne è il proprietario né quanta protezione richiede.
Esempio inventato, non un'azienda reale. Un'azienda di costruzione di macchinari con 60 dipendenti mappa undici processi aziendali (acquisizione ordini, progettazione, approvvigionamento, linea di produzione A, linea di produzione B, qualità, spedizione, fatturazione, buste paga, assistenza clienti, servizio remoto post-vendita). La ricognizione degli asset produce dodici voci raggruppate: ERP (una), CAD e PLM (una), MES in officina (una), file e print server (una, tre macchine identiche), la flotta di 50 laptop sotto un unico profilo MDM (una), due famiglie raggruppate di controller CNC (due), gli apparati di rete centrali (una), Microsoft 365 (una), il SaaS di assistenza clienti (una), l'appliance VPN post-vendita (una) e il sito fisico (una). Dodici voci che coprono IT e OT, ciascuna con un proprietario nominato, un'esigenza di protezione e un'ubicazione nota.
Le stesse dodici voci sono la spina dorsale del registro dei rischi, del registro dei fornitori, della politica degli accessi, del piano BCM e del runbook di risposta agli incidenti. Per questo non serve un progetto di CMDB: il punto 12.4 CIR non indica alcun campo, e il BSI 200-2 (8.1.1) consente di raggruppare.
- Direttiva (UE) 2022/2555 (NIS 2), Articolo 21(2)(i): le misure minime di gestione del rischio comprendono la sicurezza delle risorse umane, le politiche di controllo degli accessi e la gestione degli asset.
- Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024, Allegato punto 12.4 (inventario degli asset): un inventario completo, accurato, aggiornato e coerente, con una granularità adeguata alle esigenze del soggetto, che elenca operazioni e servizi e i sistemi che li supportano, riesaminato regolarmente. Vincola i tipi di soggetto dell'art. 1 CIR.
- BSIG (Germania), §30 (Risikomanagementmaßnahmen) Abs. 2 Nr. 9, che recepisce l'Articolo 21(2)(i) NIS 2; motivazione della legge BT-Drs. 21/1501, p. 148 (gestione degli asset).
- BSI Standard 200-2 (IT-Grundschutz-Methodik), sezione 8.1.1 (Komplexitätsreduktion durch Gruppenbildung): gli oggetti simili vengono raggruppati quando sono dello stesso tipo, hanno compiti simili, sono soggetti a condizioni simili e hanno la stessa esigenza di protezione.
- ISO/IEC 27001:2022 Annex A.5.9 (Inventario delle informazioni e di altri asset associati), collegato al punto 12.4 CIR nella tabella di mappatura dell'ENISA (v1.2, agosto 2025); l'ENISA precisa che la mappatura non è una misura di equivalenza.
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Risk Management
Rate your risks
Place every piece of software, every device and every supplier on the matrix.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
