In diesem Artikel
Eine IT-Umgebung ohne Inventar zu verwalten ist, als würde man eine Fahrzeugflotte führen, ohne zu wissen, wie viele Fahrzeuge es gibt und wann die Versicherungen enden. Das Asset-Inventar gibt der Geschäftsleitung drei Dinge: ein belastbares Erneuerungsbudget, die Gewissheit, dass nichts Vergessenes einem Angriff die Tür öffnet, und – bei den von NIS2 erfassten Einrichtungen – die Grundlage für eine konkrete gesetzliche Pflicht gegenüber dem CNCS. Es funktioniert nur, wenn es automatisch erfasst und methodisch überprüft wird – niemals als einmal erstellte Tabelle.
Können Sie diese Frage heute beantworten?
„Wie viele Laptops haben wir, und bei wie vielen ist die Garantie schon abgelaufen?“ In den meisten Unternehmen mit 10 bis 200 Arbeitsplätzen erfordert die Antwort, Rechnungen, E-Mails und mehrere Excel-Tabellen abzugleichen. Solange das so ist, erfolgt die Geräteerneuerung reaktiv, Lizenzen werden nach Schätzung bezahlt, und Sicherheit lässt sich niemandem nachweisen.
Die erste Bestandsaufnahme macht sich meist selbst bezahlt. Fast immer tauchen Abonnements ohne Nutzer, Geräte ohne Garantieschutz und Zugänge von Personen auf, die nicht mehr im Unternehmen sind.
Welchen Managementnutzen bringt ein Inventar?
- Weniger Angriffsfläche Vorfälle beginnen oft bei dem, woran sich niemand mehr erinnerte: ein alter, noch eingeschalteter Server, der Router einer Niederlassung mit Werkspasswort, ein Laptop, den ein ehemaliger Mitarbeiter nie zurückgegeben hat.
- Planbare Investitionen Wer das Alter jedes Geräts kennt, plant den Austausch in Chargen und verhandelt ihn, statt ihn beim Defekt zum Tagespreis vorzunehmen. Den empfohlenen Zyklus beschreiben wir unter der richtige Lebenszyklus für Laptops und Desktops.
- Einhaltung von Vorschriften Bei NIS2-Einrichtungen gibt es ohne Inventar keine Möglichkeit, dem CNCS die von der Verordnung verlangte Liste zu liefern.
Welche Informationen gehören ins Inventar?
Wir empfehlen, die Erfassung in fünf Ebenen zu gliedern, von denen jede eine Frage der Geschäftsleitung beantwortet:
| Ebene | Mindestfelder | Unterstützte Entscheidung |
|---|---|---|
| Hardware | Arbeitsplätze, Server, Firewalls, Switches, Access Points, Drucker, Smartphones; Hersteller, Modell, Seriennummer, Anschaffungsdatum, Garantieende, Nutzer und Standort | Wann und in welchem Umfang erneuern |
| Software und Abonnements | Betriebssystem und Version, Anwendungen, Microsoft 365, Endpoint-Schutz, ERP; vertraglich vereinbarte gegenüber tatsächlich genutzten Lizenzen | Wo Kosten gesenkt werden können und welche Software keinen Support mehr hat |
| Identitäten | Nutzer, Administratorkonten, generische Konten, Zugänge Dritter, MFA-Status | Wer worauf Zugriff hat und welche Zugänge längst geschlossen sein sollten |
| Verträge | Internet, Telefonie, Cloud, Domains, Zertifikate, Wartung; Verlängerungs- und Kündigungsfristen | Was sich ohne Entscheidung verlängert und bis wann man aussteigen kann |
| Informationen | Wo sie liegen (Server, Cloud, Laptops), wer dafür verantwortlich ist und welche Sicherung existiert | Wäre sie wiederherstellbar, wenn sie morgen verschwände? |
Zwei Begriffe zur Abstimmung. Ein Asset ist jedes Element mit Wert für das Unternehmen, das ausfallen oder angegriffen werden kann – Hardware, Lizenz, Konto, Cloud-Dienst. Aus dem Internet erreichbar ist alles, womit sich ein Dritter von außen zu verbinden versuchen kann: die Website, die E-Mail, das VPN, die Firewall, eine falsch konfigurierte IP-Kamera.
Was verlangt das CNCS von den NIS2-Einrichtungen?
Portugal hat die NIS2-Richtlinie mit dem Decreto-Lei n.º 125/2025 vom 4. Dezember umgesetzt, das den Rechtsrahmen für Cybersicherheit geschaffen hat und seit dem 120. Tag nach der Veröffentlichung gilt. Die Durchführungsbestimmungen folgten im Juni 2026 mit dem Regulamento n.º 756/2026 des CNCS.
Nach Artikel 32 müssen wesentliche, wichtige und relevante öffentliche Einrichtungen eine vollständige Liste der direkt aus dem Internet erreichbaren Assets erstellen, aktualisieren und über die elektronische Plattform beim CNCS einreichen – und diese Liste muss auf dem Asset-Inventar der Einrichtung beruhen. Das Dokument ist als vertraulich eingestuft und beschreibt unter anderem den von jedem Asset unterstützten Dienst, die Bezeichnung von Gerät oder Software, Modell und Version, Betriebssystem, IP-Adresse, Domains, Hersteller und Abhängigkeiten.
| Pflicht | Zeitplan |
|---|---|
| Erste Einreichung | Was zuerst eintritt: 31. Januar des Jahres nach der Mitteilung der Einstufung oder sechs Monate nach dieser Mitteilung |
| Aktualisierung durch wesentliche Einrichtungen | Einmal jährlich, zusammen mit dem Jahresbericht |
| Aktualisierung durch wichtige und relevante öffentliche Einrichtungen | Einmal jährlich, bis zum letzten Werktag des folgenden Januars |
Die Reihenfolge ist zwingend: Um zu wissen, was exponiert ist, muss man zuerst alles kennen, was existiert. Wenn Ihre Organisation unter das Gesetz fällt oder fallen könnte, beginnen Sie mit unserem NIS2-Leitfaden für KMU. DataRoad gibt keine rechtliche Einschätzung zur Einstufung ab; wir setzen die technischen Maßnahmen um, einschließlich des Inventars.
Wie bleibt das Inventar ohne manuellen Aufwand aktuell?
- Erfassungs-Agenten – auf Arbeitsplätzen und Servern installierte Software meldet Hardware, Anwendungen und Versionen selbstständig.
- Erkennung über das Netzwerk – Firewall und Switches zeigen alle verbundenen Geräte, auch die, die dort nicht sein sollten.
- Integration mit Ein- und Austritten – jeder Eintritt löst Geräte und Konten aus; jeder Austritt die Rückgabe und Sperrung der Zugänge, noch am selben Tag.
- Vierteljährliche Überprüfung mit der Geschäftsleitung – eine Viertelstunde für ablaufende Garantien, überzählige Lizenzen und zu schließende Konten.
- Benannter Verantwortlicher – eine konkrete Person ist für das Inventar zuständig; geteilte Verantwortung ist die Verantwortung von niemandem.
Wo liegen die üblichen Lücken?
Bei Konten ehemaliger Mitarbeitender und Dienstleister, bei bezahlten Lizenzen ohne Nutzer, bei Netzwerkgeräten in Niederlassungen und Lagern, bei Domains und Zertifikaten, die sich automatisch verlängern, und bei Informationen, die nur auf der Festplatte eines Laptops existieren.
DataRoad IT Unlimited
Sprechen Sie mit DataRoad. Wir analysieren Ihren Betrieb und schlagen das passende Paket vor.
Warum Versicherer und Auditoren dieses Dokument verlangen werden
Eine Cyber-Versicherungspolice beginnt mit einem Fragebogen zu Geräten, installiertem Schutz und Backups. Kunden, die ihre Lieferanten auditieren, Prüfungskommissionen öffentlicher Ausschreibungen und Due-Diligence-Prüfungen bei Übernahmen stellen identische Fragen. Mit einem aktuellen Inventar ist die Antwort ein Export in Minuten statt wochenlanger Sammelarbeit – und es besteht nicht das Risiko, etwas zu optimistisch anzugeben, das sich nach einem Vorfall gegen das Unternehmen wendet.
Wenn Sie sofort eine erste interne Bestandsaufnahme machen möchten, nutzen Sie unseren Leitfaden für das Audit der IT-Geräteflotte.
Wie sieht die Verwaltung einer gemischten Umgebung in der Praxis aus?
Reltio by SAP – ein US-amerikanisches Unternehmen für Datensoftware mit Büro in Lissabon – hat mit DataRoad einen IT-Unlimited-Vertrag, der dauerhafte Wartung, technische Beratung und Netzwerkmanagement umfasst. In der veröffentlichten Referenz umfasst die Umgebung 40 MacBook Pro, 35 Dell-Geräte, 125 strukturierte Netzwerkanschlüsse und eine Cisco-Meraki-Infrastruktur mit einer Firewall, drei Switches und mehreren Access Points.
Zwei Betriebssysteme, mehrere Hardwarelinien und unterschiedliche Garantiefristen lassen sich nicht aus dem Kopf verwalten. Als Apple Technical Partner führt DataRoad - IT Services and Consulting Mac und PC in einem einzigen Inventar, im selben Prozess.
Häufige Fragen
Macht NIS2 das Inventar verpflichtend?
In der Praxis ja, für die erfassten Einrichtungen: Das Regulamento n.º 756/2026 des CNCS verlangt die auf dem Inventar aufbauende Liste der aus dem Internet erreichbaren Assets, und diese Liste lässt sich ohne Inventar nicht erstellen.
Kann ich eine Tabelle verwenden?
Nur als Ausgangspunkt. Von Hand gepflegt, ist sie in wenigen Wochen falsch; das tragfähige Modell ist die automatische Erfassung über Arbeitsplätze und Netzwerk, mit regelmäßiger Überprüfung.
Wie oft sollte es überprüft werden?
Die Erfassung läuft kontinuierlich, und die Überprüfung mit der Geschäftsleitung sollte mindestens vierteljährlich erfolgen. Bei NIS2-Einrichtungen muss die Liste der exponierten Assets einmal jährlich aktualisiert werden.
Nächster Schritt: Inventar Ihrer IT-Umgebung in 10 Werktagen
Wir erfassen Hardware, Software und Abonnements, Identitäten, Verträge und Informationen; markieren, was aus dem Internet erreichbar, ohne Garantie oder zu schließen ist; und liefern das Inventar mit einem priorisierten Aktionsplan. Wie es danach aktuell gehalten wird, sehen Sie beim Gerätemanagement im Plan IT Unlimited Premium und in unserem Angebot zur technischen Umsetzung von NIS2. Unverbindliches Angebot.
Ab 10 Arbeitsplätzen · Wartungsvertrag · Support per Fernwartung, vor Ort und telefonisch.
Rufen Sie +351 211 459 950* an oder schreiben Sie an sales@dataroad.pt.
*Anruf ins portugiesische Festnetz.
