Wie erstelle ich ein Asset Inventar für NIS2 mit KI?

Wie erstellt ein KI Assistent das Inventar?

Ein Asset Inventar ist die Liste dessen, was Ihr Unternehmen für seine Arbeit braucht: Abläufe, Programme, Technik und Räume. Im NIS 2 Durchgang führen Sie es in Punkt 2.2, und ein verbundener KI Assistent kann es dort aus Ihren Unterlagen füllen.

Verbunden wird er über MCP (Model Context Protocol), einen offenen Standard, über den ein Assistent wie Claude in einer Anwendung liest und einträgt. Er arbeitet dann mit den Rechten der Person, die ihn verbunden hat.

Geben Sie ihm, was Sie schon haben: die Inventarliste Ihres Systemhauses, eine Lizenzliste oder einen Export aus Ihrer CMDB. Das ist die Datenbank, in der Ihre IT Geräte und Programme führt. Der Assistent ordnet die Zeilen den Katalogeinträgen zu, kreuzt diese an und legt für den Rest eigene Einträge an.

Der Server gibt jedem Assistenten den Hinweis mit, nur einzutragen, was Ihre Unterlagen und Systeme zeigen, und ein Feld lieber leer zu lassen als zu raten. Ob er sich daran gehalten hat, sehen Sie an der Liste selbst.

Was gehört nach NIS 2 in das Asset Inventar?

Punkt 2.2 führt vier Listen: „Was Ihr Unternehmen jeden Tag tut“ (Ihre Abläufe), „Programme für Kunden, Personal und Geld“, „Programme, die alle nutzen“ und „Technik und Räume“. Zu jeder gibt es einen Katalog zum Ankreuzen, zusammen 132 Einträge, etwa „Buchhaltung (DATEV, Lexware, sevDesk, lexoffice)“ oder „Notebooks und Desktops“.

Danach fragen „Welches Programm genau, und von wem?“ und „Welche Technik genau, und von wem?“. Dort steht pro Eintrag, was Sie wirklich nutzen, wofür, ob es im Haus oder in der Cloud läuft und wer es liefert.

Die Richtlinie zählt Konzepte zur Risikoanalyse und das Management von Anlagen zu den Mindestmaßnahmen. In Deutschland verlangt das BSIG Konzepte für die Verwaltung Ihrer Systeme, Produkte und Prozesse in Informationstechnik und Kommunikation; eine Liste ist dafür der übliche erste Schritt.

Ausdrücklich ein vollständiges, aktuelles Inventar verlangt Anhang Nr. 12.4 der Durchführungsverordnung (EU) 2024/2690. Sie gilt unmittelbar nur für bestimmte digitale Dienste, etwa Cloud und Rechenzentren.

Art. 21 Abs. 2 Buchst. a und i NIS 2 · § 30 Abs. 2 Nr. 1 und 9 BSIG

Was tut die KI beim Inventar nicht?

Sie schließt Punkt 2.2 nicht ab, und sie nimmt nichts von der Liste: Keines ihrer Werkzeuge löscht einen Eintrag dieser Liste. Steht etwas Falsches darauf, nehmen Sie es in der App heraus.

Sie arbeitet an Punkten, die noch offen sind oder die Sie zur Seite gelegt haben. Haben Sie 2.2 abgeschlossen, nimmt der Server an diesem Punkt nichts mehr vom Assistenten an; Änderungen machen Sie dann in der App.

Ist ein Punkt freigegeben, der auf dieser Liste aufbaut, etwa 2.2 selbst oder 4.4 zur Datensicherung, lehnen die Werkzeuge jede Änderung an der Liste ab. Sie nennen dann die betroffenen Punkte.

Die Änderung würde die Freigabe zurücknehmen. Das ist der Schritt einer Person in der App, und der Punkt geht danach noch einmal an die Geschäftsführung.

Wie prüfe ich, was die KI eingetragen hat?

Jeder Bildschirm, den ein Assistent beschrieben hat, trägt oben eine Marke, etwa „Am 16. Oktober 2026 vom Assistenten claude-code/2.1.287 eingetragen“. Den Namen gibt der Assistent selbst an. Die Marke bleibt stehen, auch wenn Sie den Bildschirm danach ändern.

Im Aktivitätsprotokoll steht jede Änderung unter dem Namen der Person, die den Assistenten verbunden hat, mit dem Zusatz „über“ und dem Namen des Assistenten. So bleibt sichtbar, was im Browser geändert wurde und was über den Assistenten.

Gehen Sie vor dem Abschließen alle vier Listen und beide genaueren Bildschirme durch. Achten Sie auf gemietete Programme aus der Cloud, etwa E-Mail oder Buchhaltung: Der Durchgang nennt sie als häufig übersehen, und in einer reinen Geräteliste stehen sie nicht.