Jak zbudować inwentarz zasobów NIS 2
Artykuł 21(2)(i) NIS 2 wymienia zarządzanie zasobami, a § 30 ust. 2 pkt 9 BSIG wprowadza je do prawa niemieckiego. Pkt 12.4 CIR określa, co zawiera inwentarz dla objętych nim dostawców cyfrowych. BSI 200-2 (8.1.1) pozwala grupować podobne obiekty, więc powstaje krótka lista grupowanych wpisów, a nie jeden wiersz na urządzenie.
Wersja skrócona
NIS 2 wymienia zarządzanie zasobami w artykule 21(2)(i) jako jeden z dziesięciu minimalnych środków zarządzania ryzykiem; Niemcy wprowadzają je w § 30 ust. 2 pkt 9 BSIG jako koncepcję zarządzania systemami IT, produktami i procesami. Dla dostawców cyfrowych wymienionych w jego art. 1 rozporządzenie wykonawcze Komisji (UE) 2024/2690 konkretyzuje to w pkt 12.4: kompletny, dokładny, aktualny inwentarz, który wymienia działania i usługi oraz stojące za nimi systemy i inne zasoby, w granulacji dopasowanej do potrzeb podmiotu, regularnie przeglądany. Nie wymienia żadnych pól.
Liczba, która przeraża ludzi (200 serwerów, 600 laptopów, 40 narzędzi SaaS), kurczy się, gdy przeczytacie BSI Standard 200-2 sekcja 8.1.1. Obiekty tego samego typu, o podobnych zadaniach i warunkach oraz tej samej potrzebie ochrony, są grupowane w jeden wpis. 600 laptopów staje się jednym wierszem z polem ilości, a nie 600 wierszami.
Wynikiem jest krótka lista grupowanych wpisów, a nie jeden wiersz na urządzenie, obejmująca IT, OT, SaaS, sprzęt sieciowy i obiekty fizyczne. Ten rejestr jest fundamentem, do którego odwołują się ocena ryzyka, rejestr dostawców, polityka dostępu i plan incydentów. Zbudujcie go raz, przeglądajcie regularnie, aktualizujcie, gdy zmieni się coś istotnego.
Artykuł 21(2)(i) dyrektywy NIS 2 (UE) 2022/2555
[Środki obejmują co najmniej] (i) bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie zasobami.
Artykuł 21(2)(i) nazywa zarządzanie zasobami jako jeden z dziesięciu minimalnych środków, które musi podjąć każda besonders wichtige i wichtige Einrichtung. Dyrektywa nie mówi, jak wygląda rejestr. Dla dostawców cyfrowych wymienionych w art. 1 CIR ten szczegół tkwi o warstwę niżej w rozporządzeniu wykonawczym.
Rozporządzenie wykonawcze Komisji (UE) 2024/2690, załącznik pkt 12.4 (inwentarz zasobów)
12.4.1. Odpowiednie podmioty opracowują i prowadzą kompletny, dokładny, aktualny i spójny wykaz swoich aktywów. Rejestrują zmiany we wpisach w wykazie w możliwy do prześledzenia sposób. 12.4.2. Poziom szczegółowości wykazu aktywów musi być odpowiedni do potrzeb odpowiednich podmiotów. Wykaz ten obejmuje: a) listę operacji i usług oraz ich opis; b) listę sieci i systemów informatycznych oraz innych powiązanych aktywów wspierających działalność i usługi odpowiednich podmiotów. 12.4.3. Odpowiednie podmioty regularnie dokonują przeglądu i aktualizacji wykazu i swoich aktywów oraz dokumentują historię zmian.
CIR 2024/2690 wiąże tylko dostawców cyfrowych wymienionych w jego art. 1 (DNS, TLD, chmura, centra danych, CDN, MSP, MSSP, internetowe platformy handlowe, wyszukiwarki, sieci społecznościowe, usługi zaufania). Pkt 12.4 wymaga od nich kompletnego, aktualnego inwentarza w granulacji dopasowanej do ich potrzeb, z wymienieniem działań i usług oraz stojących za nimi systemów, regularnie przeglądanego. Nie wymienia pól ani interwału. Dla każdego innego podmiotu § 30 ust. 2 pkt 9 BSIG wymaga koncepcji zarządzania systemami IT, produktami i procesami, bez narzucania formy.
§ 30 ust. 2 pkt 9 BSIG (Niemcy) + BSI Standard 200-2 sekcja 8.1.1 (zalecana metoda)
§ 30 Abs. 2 Nr. 9 BSIG: Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. BSI 200-2, 8.1.1: 'Ähnliche Objekte sollten deshalb sinnvoll zu Gruppen zusammengefasst werden.' Obiekty mogą należeć do jednej grupy, jeśli są tego samego typu, mają podobne zadania, podlegają podobnym warunkom i mają taką samą potrzebę ochrony.
§ 30 ust. 2 pkt 9 BSIG wprowadza artykuł 21(2)(i) do prawa niemieckiego; uzasadnienie ustawy mówi, że 'Verwaltung von IKT-Systemen, -Produkten und -Prozessen' opisuje to, co technicznie nazywa się zarządzaniem zasobami (BT-Drs. 21/1501, s. 148). BSI Standard 200-2 (sekcja 8.1) wyjaśnia, jak przeprowadza się analizę strukturalną: obiekty tego samego typu, o podobnych zadaniach i warunkach oraz tej samej potrzebie ochrony, są grupowane w jeden wpis. To jest zasada, która zamienia 600 laptopów w jeden wiersz rejestru.
Zacznijcie od procesów, a nie od skanu sieci
Zapiszcie procesy biznesowe, od których firma jest zależna (przyjmowanie zamówień, fakturowanie, lista płac, obsługa klienta, linia produkcyjna, sterowanie ciepłem sieciowym, dyspozycja tras). Dla każdego nazwijcie zależności. To jest punkt wejścia, który BSI 200-2 nazywa Strukturanalyse. Mapa procesów ustanawia, które zasoby mają znaczenie i jaka jest ich potrzeba ochrony. Skan sieci rozpoczęty na zimno daje wam szum, a nie rejestr.
Wymieńcie zasoby, od których zależy każdy proces, pogrupowane
Przejdźcie przez każdy proces i ujmijcie zasoby, których potrzebuje: aplikacje, bazy danych, serwery, punkty końcowe, sprzęt sieciowy, usługi chmurowe i SaaS, komponenty OT i ICS, obiekty fizyczne. Zastosujcie BSI 200-2 sekcja 8.1.1: 45 identycznych laptopów biurowych to jeden wpis z polem ilości, a nie 45 wierszy. Trzy identyczne PLC na tej samej linii to jeden wpis. Usługi SaaS liczą się, mimo że nie są w waszej sieci. Wynikiem jest krótka lista grupowanych wpisów, a nie jeden wiersz na urządzenie.
Wypełnijcie kilka pól na wpis
Dla każdego wpisu zapiszcie to, czego potrzebujecie do zarządzania nim. Wytyczne ENISA proponują między innymi: unikalny identyfikator (krótki identyfikator zasobu jak ERP-01), opis (czym jest i jakiemu procesowi służy), właściciel (osoba imiennie, a nie dział), klasyfikacja (jak duża ochrona jest potrzebna w zakresie poufności, integralności i dostępności, wyprowadzona z procesu, któremu służy) oraz lokalizacja (ośrodek danych, region chmury, obiekt fizyczny lub dostawca, który go hostuje). Pochodzą one z listy orientacyjnej, a nie z prawa.
Grupujcie identyczne zasoby, nie wyliczajcie każdego urządzenia
BSI Standard 200-2 (8.1.1) mówi, że podobne obiekty należy grupować, gdy są tego samego typu, mają podobne zadania i warunki oraz taką samą potrzebę ochrony. Użyjcie tego. 600 laptopów w tym samym profilu MDM o tym samym Schutzbedarf to jeden wpis rejestru. Trzy identyczne PLC pomp ścieków to jeden wpis. Pula identycznych stacji roboczych VDI to jeden wpis. Rejestr ma pokazywać, że rozumiecie swoje zależności, a nie wymieniać etykiety zasobów.
Inwentaryzujcie zależności, a nie tylko rzeczy, które posiadacie
Właściciel i potrzeba ochrony mają sens dopiero wtedy, gdy wiecie, któremu procesowi zasób służy. Pkt 12.4.2(a) CIR wymienia najpierw działania i usługi, a BSI 200-2 zaczyna od procesów biznesowych. Więc najpierw mapujcie procesy, a zasoby drugie. Ta sama zasada obejmuje SaaS: narzędzie, którego nie posiadacie, ale od którego zależy wasze fakturowanie, należy do inwentarza, hostowane przez nazwanego dostawcę.
BSI: Strukturanalyse plus Gruppenbildung jako zalecana metoda
Metodyka IT-Grundschutz BSI (Standard 200-2, sekcja 8.1) zaczyna od Strukturanalyse i używa grupowania (8.1.1), aby utrzymać ją w zarządzalnym rozmiarze. Jest to zalecana metoda, a nie wymóg prawny.
ENISA Technical Implementation Guidance: zarządzanie zasobami sekcja 12
Technical Implementation Guidance ENISA dla CIR 2024/2690 omawia zarządzanie zasobami w sekcji 12. Dla pkt 12.4 sugeruje pola do rozważenia (lista orientacyjna obejmująca unikalny identyfikator, właściciela, opis, lokalizację i klasyfikację). Tabela mapowania ENISA (CC BY 4.0, v1.2, sierpień 2025) łączy pkt 12.4 z ISO/IEC 27001:2022 A.5.9, NIST CSF 2.0 ID.AM i ETSI EN 319 401 klauzula 7.3.
Inne państwa członkowskie: ISO/IEC 27001:2022 A.5.9 jako punkt wyjścia
Pkt 12.4 CIR obowiązuje bezpośrednio w każdym państwie członkowskim, ale tylko dla dostawców cyfrowych wymienionych w art. 1 CIR; prawa krajowe przenoszą ogólny obowiązek zarządzania zasobami z art. 21(2)(i) własnymi słowami. Mapowanie ENISA łączy pkt 12.4 z ISO/IEC 27001:2022 A.5.9, więc rejestr ISO jest dobrym punktem wyjścia; ENISA zaznacza, że mapowanie nie jest miarą równoważności.
Wymienimy każde urządzenie indywidualnie, żeby rejestr był kompletny.
Nie. BSI 200-2 (8.1.1) zaleca grupowanie podobnych obiektów. Rejestr z 600 wierszami laptopów jest trudny do czytania i nie dodaje żadnej informacji, której nie niesie już krótki grupowany rejestr.
SaaS jest niewidoczny, bo nie jest w naszej sieci, więc go pomijamy.
Błąd. Pkt 12.4.2(b) CIR obejmuje sieci i systemy informatyczne oraz inne powiązane zasoby wspierające wasze działania i usługi, a usługa SaaS, od której zależy wasze fakturowanie, jest jednym z nich. Wpiszcie ją jako jeden wpis z dostawcą i regionem jako lokalizacją (na przykład Salesforce, eu-west) i zachowajcie dostawcę także na swojej liście dostawców.
Możemy zbudować rejestr ze skanu sieci i dodać właścicieli później.
Możecie, ale pole właściciela pozostanie puste, a potrzeba ochrony będzie zgadywaniem. Pkt 12.4.2(a) CIR zaczyna inwentarz od listy działań i usług, a BSI 200-2 zaczyna analizę strukturalną od procesów biznesowych (8.1.2). Bez tego kroku żaden proces nie wskazuje na wpis, więc nikt nie może powiedzieć, kto jest jego właścicielem ani ile ochrony potrzebuje.
Wymyślony przykład, nie prawdziwa firma. Firma budowy maszyn z 60 pracownikami mapuje jedenaście procesów biznesowych (przyjmowanie zamówień, projektowanie, zaopatrzenie, linia produkcyjna A, linia produkcyjna B, jakość, wysyłka, fakturowanie, lista płac, obsługa klienta, zdalny serwis posprzedażny). Przejście przez zasoby daje dwanaście grupowanych wpisów: ERP (jeden), CAD i PLM (jeden), MES na hali produkcyjnej (jeden), serwery plików i druku (jeden, trzy identyczne urządzenia), flota 50 laptopów pod jednym profilem MDM (jeden), dwie grupowane rodziny kontrolerów CNC (dwa), centralny sprzęt sieciowy (jeden), Microsoft 365 (jeden), SaaS obsługi klienta (jeden), urządzenie VPN posprzedażne (jeden) oraz obiekt fizyczny (jeden). Dwanaście wpisów obejmujących IT i OT, każdy z nazwanym właścicielem, potrzebą ochrony i znaną lokalizacją.
Te same dwanaście wpisów stanowi kręgosłup rejestru ryzyka, rejestru dostawców, polityki dostępu, planu BCM i procedury reagowania na incydenty. Projekt CMDB nie jest do tego potrzebny: pkt 12.4 CIR nie wymienia pól, a BSI 200-2 (8.1.1) pozwala grupować.
- Dyrektywa (UE) 2022/2555 (NIS 2), artykuł 21(2)(i): minimalne środki zarządzania ryzykiem obejmują bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie zasobami.
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r., załącznik pkt 12.4 (inwentarz zasobów): kompletny, dokładny, aktualny i spójny inwentarz, w granulacji dopasowanej do potrzeb podmiotu, z wymienieniem działań i usług oraz wspierających je systemów, regularnie przeglądany. Wiąże rodzaje podmiotów z art. 1 CIR.
- BSIG (Niemcy), §30 (Risikomanagementmaßnahmen) Abs. 2 Nr. 9, transponujący artykuł 21(2)(i) NIS 2; uzasadnienie ustawy BT-Drs. 21/1501, s. 148 (zarządzanie zasobami).
- BSI Standard 200-2 (IT-Grundschutz-Methodik), sekcja 8.1.1 (Komplexitätsreduktion durch Gruppenbildung): podobne obiekty są grupowane, gdy są tego samego typu, mają podobne zadania, podlegają podobnym warunkom i mają taką samą potrzebę ochrony.
- ISO/IEC 27001:2022 Annex A.5.9 (inwentarz informacji i innych powiązanych zasobów), powiązany z pkt 12.4 CIR w tabeli mapowania ENISA (v1.2, sierpień 2025); ENISA zaznacza, że mapowanie nie jest miarą równoważności.
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Risk Management
Rate your risks
Place every piece of software, every device and every supplier on the matrix.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
