ISO 27001:2022 · A.5.9 · A.5 Organisatorische Maßnahmen
Inventar der Informationen und anderer Werte
Ein Inventar der Informationen und anderer damit verbundener Werte, einschließlich der jeweils Verantwortlichen, muss erstellt und gepflegt werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Ein Inventar der Informationen und anderer damit verbundener Werte, einschließlich der jeweils Verantwortlichen, muss erstellt und gepflegt werden.
Warum ist das wichtig?
Man kann nur schützen, was man kennt. Ein vollständiges, aktuelles Asset-Inventar ist die Grundlage für Risikoanalyse, Klassifizierung und Schutzmaßnahmen.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Asset-Management | Direkt |
| TISAX | 1.4.1 | Asset-Management | Direkt |
| BSI | ISMS.1.A6 | Erfassung von Werten | Direkt |
Was der Auditor erwartet
- Aktuelles Inventar aller relevanten Werte
- Zuordnung von Verantwortlichen (Asset Owner)
- Pflegeprozess zur Aktualität
Audit-Checkliste
Dokumente
Asset-InventarWerte mit Owner, Klassifizierung und Standort
Nachweise
AktualisierungsnachweisRegelmäßige Pflege und Abgleich des Inventars
Abgleichsprotokoll Soll/IstErgebnis des Abgleichs zwischen Register und realer Landschaft
Zugang- und AussonderungsprozessNachvollziehbare Erfassung bei Neuzugang und Aussonderung von Werten
Interviews
Asset OwnerKenntnis ihrer Verantwortung für die Werte
Technisch
Automatisierte ErfassungAbgleich mit MDM/Discovery-Daten
Praxis-Tipps zur Umsetzung
Owner zuweisenJeder Wert braucht einen Verantwortlichen, der über Schutz und Nutzung entscheidet.
AutomatisierenGeräteinventar über MDM/Discovery automatisch befüllen und aktuell halten.
Mehr als HardwareAuch Informationen, Software, Dienste und Lieferanten erfassen.
Häufige Fehler
Nur HardwareInformationen, Cloud-Dienste und Software fehlen im Inventar.
VeraltetDas Inventar wird einmal erstellt und nie gepflegt.
Häufig gestellte Fragen
Was gehört alles ins Asset-Inventar?
Hardware, Software, Informationen, Dienste und teils auch Personen und Lieferanten, jeweils mit Verantwortlichen.
Wie hält man das Inventar aktuell?
Über automatisierte Erfassung und regelmässige Reviews durch die Asset Owner.
Brauchen wir eine CMDB?
Nicht zwingend, eine strukturierte und gepflegte Liste genügt, eine CMDB erleichtert die Pflege aber.
So hilft CompliantDesk bei A.5.9
Das Asset-Modul führt alle Werte mit Owner und Klassifizierung und befüllt das Inventar über M365/Intune automatisch.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten