Cum se construiește inventarul de active NIS 2
Articolul 21(2)(i) NIS 2 numește gestionarea activelor, iar § 30(2) Nr. 9 BSIG o preia în dreptul german. Punctul 12.4 CIR stabilește ce conține inventarul pentru furnizorii digitali pe care îi acoperă. BSI 200-2 (8.1.1) vă permite să grupați obiectele similare, astfel încât ajungeți la o listă scurtă de intrări grupate, nu la un rând per dispozitiv.
Pe scurt
NIS 2 numește gestionarea activelor în articolul 21(2)(i) ca una dintre cele zece măsuri minime de management al riscului; Germania o preia în § 30(2) Nr. 9 BSIG ca un concept pentru gestionarea sistemelor, produselor și proceselor IT. Pentru furnizorii digitali enumerați la art. 1, Regulamentul de punere în aplicare (UE) 2024/2690 o concretizează la punctul 12.4: un inventar complet, exact și actualizat, care listează operațiunile și serviciile, precum și sistemele și celelalte active din spatele lor, la o granularitate potrivită nevoilor entității, revizuit regulat. Nu numește niciun câmp.
Numărul care sperie oamenii (200 de servere, 600 de laptopuri, 40 de instrumente SaaS) se micșorează odată ce citiți BSI Standard 200-2 secțiunea 8.1.1. Obiectele de același tip, cu sarcini și condiții similare și cu aceeași nevoie de protecție, sunt grupate într-o singură intrare. Cele 600 de laptopuri devin un singur rând cu un câmp de cantitate, nu 600 de rânduri.
Rezultatul este o listă scurtă de intrări grupate, nu un rând per dispozitiv, care acoperă IT, OT, SaaS, echipamente de rețea și locații fizice. Acel registru este temelia la care se raportează evaluarea riscului, registrul de furnizori, politica de acces și planul de incidente. Construiți-l o dată, revizuiți-l regulat, actualizați-l când se schimbă ceva semnificativ.
Articolul 21(2)(i) Directiva NIS 2 (UE) 2022/2555
[Măsurile includ cel puțin] (i) securitatea resurselor umane, politicile de control al accesului și gestionarea activelor.
Articolul 21(2)(i) numește gestionarea activelor ca una dintre cele zece măsuri minime pe care fiecare besonders wichtige și wichtige Einrichtung trebuie să le ia. Directiva nu spune cum arată registrul. Pentru furnizorii digitali enumerați la art. 1 CIR, acel detaliu se află cu un strat mai jos, în Regulamentul de punere în aplicare.
Regulamentul de punere în aplicare al Comisiei (UE) 2024/2690, Anexă punctul 12.4 (inventarul activelor)
12.4.1. Entitățile relevante elaborează și mențin un inventar complet, exact, actualizat și consecvent al activelor lor. Entitățile relevante înregistrează modificările aduse înregistrărilor din inventar într-un mod care să poată fi urmărit. 12.4.2. Granularitatea inventarului activelor este la un nivel adecvat nevoilor entităților relevante. Inventarul include următoarele: (a) lista operațiunilor și a serviciilor și descrierea acestora; (b) lista rețelelor și a sistemelor informatice și a altor active asociate care sprijină operațiunile și serviciile entităților relevante. 12.4.3. Entitățile relevante revizuiesc și actualizează periodic inventarul și activele lor și documentează istoricul modificărilor.
CIR 2024/2690 obligă numai furnizorii digitali enumerați la art. 1 (DNS, TLD, cloud, centre de date, CDN, MSP, MSSP, piețe online, motoare de căutare, rețele sociale, servicii de încredere). Punctul 12.4 le cere un inventar complet și actualizat, la o granularitate potrivită nevoilor lor, care listează operațiunile și serviciile și sistemele din spatele lor, revizuit regulat. Nu numește niciun câmp și niciun interval. Pentru orice altă entitate, § 30(2) Nr. 9 BSIG cere un concept pentru gestionarea sistemelor, produselor și proceselor IT, fără a prescrie o formă.
§ 30(2) Nr. 9 BSIG (Germania) + BSI Standard 200-2 secțiunea 8.1.1 (metodă recomandată)
§ 30 Abs. 2 Nr. 9 BSIG: Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. BSI 200-2, 8.1.1: 'Ähnliche Objekte sollten deshalb sinnvoll zu Gruppen zusammengefasst werden.' Obiectele pot fi grupate dacă sunt de același tip, au sarcini similare, sunt supuse unor condiții similare și au aceeași nevoie de protecție.
§ 30(2) Nr. 9 BSIG preia articolul 21(2)(i) în dreptul german; expunerea de motive precizează că 'Verwaltung von IKT-Systemen, -Produkten und -Prozessen' descrie ceea ce tehnic se numește gestionarea activelor (BT-Drs. 21/1501, p. 148). BSI Standard 200-2 (secțiunea 8.1) explică cum se realizează analiza structurii: obiectele de același tip, cu sarcini și condiții similare și cu aceeași nevoie de protecție, sunt grupate într-o singură intrare. Aceasta este regula care transformă 600 de laptopuri într-un singur rând de registru.
Porniți de la procese, nu de la scanarea rețelei
Notați procesele de afaceri de care depinde compania (preluarea comenzilor, facturarea, salarizarea, asistența pentru clienți, linia de producție, controlul încălzirii centralizate, dispecerizarea rutelor). Pentru fiecare, numiți dependențele. Acesta este punctul de intrare pe care BSI 200-2 îl numește Strukturanalyse. Harta proceselor stabilește ce active contează și care este nevoia lor de protecție. O scanare de rețea începută la rece vă oferă zgomot, nu un registru.
Listați activele de care depinde fiecare proces, grupat
Parcurgeți fiecare proces și captați activele de care are nevoie: aplicații, baze de date, servere, endpointuri, echipamente de rețea, servicii cloud și SaaS, componente OT și ICS, locații fizice. Aplicați BSI 200-2 secțiunea 8.1.1: 45 de laptopuri de birou identice sunt o singură intrare cu un câmp de cantitate, nu 45 de rânduri. Trei PLC-uri identice pe aceeași linie sunt o singură intrare. Serviciile SaaS contează chiar dacă nu sunt în rețeaua dvs. Rezultatul este o listă scurtă de intrări grupate, nu un rând per dispozitiv.
Completați câteva câmpuri per intrare
Pentru fiecare intrare, înregistrați ce vă trebuie ca s-o gestionați. Orientările ENISA sugerează, printre altele: un ID unic (un ID scurt de activ precum ERP-01), o descriere (ce este și ce proces deservește), un proprietar (o persoană numită, nu un departament), o clasificare (cât de multă protecție necesită în confidențialitate, integritate și disponibilitate, derivată din procesul pe care îl deservește) și o locație (centru de date, regiune cloud, locație fizică sau furnizorul care îl găzduiește). Acestea provin dintr-o listă orientativă, nu din lege.
Grupați activele identice, nu enumerați fiecare dispozitiv
BSI Standard 200-2 (8.1.1) spune că obiectele similare ar trebui grupate atunci când sunt de același tip, au sarcini și condiții similare și au aceeași nevoie de protecție. Folosiți aceasta. 600 de laptopuri în același profil MDM cu același Schutzbedarf sunt o singură intrare de registru. Trei PLC-uri identice de pompe de ape uzate sunt o singură intrare. Un grup de stații de lucru VDI identice este o singură intrare. Registrul ar trebui să arate că vă înțelegeți dependențele, nu să listeze etichete de active.
Inventariați dependențele, nu doar lucrurile pe care le dețineți
Un proprietar și o nevoie de protecție au sens doar dacă știți ce proces deservește activul. Punctul 12.4.2(a) CIR listează mai întâi operațiunile și serviciile, iar BSI 200-2 pornește de la procesele de afaceri. Așadar, mapați mai întâi procesele și apoi activele. Același lucru este valabil pentru SaaS: un instrument pe care nu îl dețineți, dar de care depinde facturarea dvs., aparține inventarului, găzduit de furnizorul numit.
BSI: analiza structurii plus gruparea ca metodă recomandată
Metodologia IT-Grundschutz a BSI (Standard 200-2, secțiunea 8.1) pornește de la analiza structurii și folosește gruparea (8.1.1) ca să o mențină gestionabilă. Este o metodă recomandată, nu o cerință legală.
Ghidul tehnic de implementare ENISA: gestionarea activelor secțiunea 12
Ghidul tehnic de implementare al ENISA pentru CIR 2024/2690 tratează gestionarea activelor în secțiunea 12. Pentru punctul 12.4 sugerează câmpuri de luat în considerare (o listă orientativă care include un ID unic, proprietar, descriere, locație și clasificare). Tabelul de mapare al ENISA (CC BY 4.0, v1.2, august 2025) leagă punctul 12.4 de ISO/IEC 27001:2022 A.5.9, NIST CSF 2.0 ID.AM și ETSI EN 319 401 clauza 7.3.
Alte state membre: ISO/IEC 27001:2022 A.5.9 ca punct de plecare
Punctul 12.4 CIR se aplică direct în fiecare stat membru, dar numai furnizorilor digitali enumerați la art. 1 CIR; legile naționale preiau obligația generală de gestionare a activelor din art. 21(2)(i) în propriile cuvinte. Maparea ENISA leagă punctul 12.4 de ISO/IEC 27001:2022 A.5.9, deci un registru ISO este un bun punct de plecare; ENISA precizează că maparea nu este o măsură a echivalenței.
Vom lista fiecare dispozitiv individual ca registrul să fie complet.
Nu. BSI 200-2 (8.1.1) recomandă gruparea obiectelor similare. Un registru cu 600 de rânduri de laptopuri este greu de citit și nu adaugă nicio informație pe care un registru grupat scurt nu o poartă deja.
SaaS este invizibil deoarece nu este în rețeaua noastră, deci îl omitem.
Greșit. Punctul 12.4.2(b) CIR acoperă sistemele de rețea și informatice și celelalte active asociate care susțin operațiunile și serviciile dvs., iar un serviciu SaaS de care depinde facturarea dvs. este unul dintre ele. Introduceți-l ca o singură intrare, cu furnizorul și regiunea ca locație (de exemplu Salesforce, eu-west), și păstrați furnizorul și în lista dvs. de furnizori.
Putem construi registrul din scanarea rețelei și adăuga proprietarii mai târziu.
Puteți, dar câmpul proprietar va rămâne gol, iar nevoia de protecție va fi o presupunere. Punctul 12.4.2(a) CIR pornește inventarul de la lista operațiunilor și serviciilor, iar BSI 200-2 pornește analiza structurii de la procesele de afaceri (8.1.2). Fără acest pas, niciun proces nu indică spre o intrare, deci nimeni nu poate spune cui aparține sau cât de multă protecție necesită.
Exemplu inventat, nu o companie reală. O companie de construcții de mașini cu 60 de angajați mapează unsprezece procese de afaceri (preluarea comenzilor, proiectarea, achizițiile, linia de producție A, linia de producție B, calitatea, expedierea, facturarea, salarizarea, asistența pentru clienți, service-ul de la distanță după vânzare). Parcurgerea activelor produce douăsprezece intrări grupate: ERP (una), CAD și PLM (una), MES în hala de producție (una), servere de fișiere și imprimare (una, trei cutii identice), flota de 50 de laptopuri sub un singur profil MDM (una), două familii grupate de controlere CNC (două), echipamentul central de rețea (una), Microsoft 365 (una), SaaS-ul de asistență pentru clienți (una), echipamentul VPN de după vânzare (una) și locația fizică (una). Douăsprezece intrări care acoperă IT și OT, fiecare cu un proprietar numit, o nevoie de protecție și o locație cunoscută.
Aceleași douăsprezece intrări sunt coloana vertebrală a registrului de risc, a registrului de furnizori, a politicii de acces, a planului BCM și a manualului de răspuns la incidente. Pentru asta nu este nevoie de un proiect CMDB: punctul 12.4 CIR nu numește niciun câmp, iar BSI 200-2 (8.1.1) vă permite să grupați.
- Directiva (UE) 2022/2555 (NIS 2), articolul 21(2)(i): măsurile minime de management al riscului includ securitatea resurselor umane, politicile de control al accesului și gestionarea activelor.
- Regulamentul de punere în aplicare al Comisiei (UE) 2024/2690 din 17 octombrie 2024, Anexă punctul 12.4 (inventarul activelor): un inventar complet, exact, actualizat și coerent, la o granularitate potrivită nevoilor entității, care listează operațiunile și serviciile și sistemele care le susțin, revizuit regulat. Obligă tipurile de entități de la art. 1 CIR.
- BSIG (Germania), §30 (Risikomanagementmaßnahmen) Abs. 2 Nr. 9, care transpune articolul 21(2)(i) NIS 2; expunerea de motive BT-Drs. 21/1501, p. 148 (gestionarea activelor).
- BSI Standard 200-2 (IT-Grundschutz-Methodik), secțiunea 8.1.1 (Komplexitätsreduktion durch Gruppenbildung): obiectele similare sunt grupate atunci când sunt de același tip, au sarcini similare, sunt supuse unor condiții similare și au aceeași nevoie de protecție.
- ISO/IEC 27001:2022 Anexa A.5.9 (Inventarul informațiilor și al altor active asociate), legat de punctul 12.4 CIR în tabelul de mapare al ENISA (v1.2, august 2025); ENISA precizează că maparea nu este o măsură a echivalenței.
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Risk Management
Rate your risks
Place every piece of software, every device and every supplier on the matrix.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
