Kernpunt: Artikel 21 noemt assetbeheer bijna terloops, maar elke andere maatregel hangt ervan af. Zonder een onderhouden inventaris van de assets die de essentiële of belangrijke diensten van de entiteit ondersteunen, is risicoanalyse speculatie, is incidentafhandeling improvisatie, is bedrijfscontinuïteit wishful thinking, en is ketenveiligheid een spreadsheet met leveranciers zonder context. De meeste NIS2-programma's slaan deze stap over omdat hij te basic aanvoelt. Precies daarom levert hij bevindingen op.
Vraag een security leider waar hij zijn inventaris van kritieke assets bewaart, en je hoort een van drie antwoorden. "In de CMDB." "Ergens in een spreadsheet." "We zijn ermee bezig." Alle drie de antwoorden schieten meestal tekort bij toezicht, want de inventaris die aan NIS2 voldoet is geen IT-catalogus. Het is een lijst afgestemd op de business van wat telt voor de dienst, met een duidelijke koppeling van elk asset naar de dienst die het ondersteunt en de eigenaar die ervoor verantwoordelijk is.
Dit artikel loopt door hoe je de inventaris afbakent, wat je opneemt, wat je weglaat, en hoe je hem actueel houdt. Het sluit af met een template die simpel genoeg is om vandaag al mee te beginnen.
Waarom de inventaris de eerste echte stap is
NIS2 begint met afbakening: val je onder de richtlijn? Dan met classificatie: essentieel of belangrijk? Na die twee stappen wordt de richtlijn snel operationeel. Artikel 21 vereist risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenveiligheid, secure development, effectiviteitsbeoordeling, training, cryptografie, toegangsbeheer en assetbeheer, en MFA. Zes van die tien maatregelen kun je niet goed uitvoeren zonder een werkende inventaris.
- Risicoanalyse. Een risicoregister zonder benoemde assets is een verlanglijstje. Risico's moeten gekoppeld zijn aan iets waar de entiteit eigenaar van is of op leunt.
- Incidentafhandeling. Als een incident toeslaat, is de inventaris wat de responder vertelt welke systemen de getroffen dienst ondersteunen en wie eigenaar is.
- Bedrijfscontinuïteit. Een business impact-analyse heeft een assetinventaris nodig om hersteldoelen te koppelen aan de daadwerkelijke systemen die weer online moeten komen.
- Ketenveiligheid. Het leveranciersregister is een zusterregister van de assetinventaris. Elke kritieke leverancier hoort gekoppeld te zijn aan de assets of diensten die hij ondersteunt.
- Toegangsbeheer. Toegangsreviews leunen op weten welke resources binnen scope vallen. Niet-gekoppelde systemen blijven onbeheerd.
- Cryptografie. De cryptografische inventaris die artikel 21(2)(h) vereist, is een specifiek deel van de algemene assetinventaris.
Zo bepaal je de scope van de inventaris zonder de weg kwijt te raken
De valkuil bij assetinventarisatie is de omvang van het universum. Een onderneming heeft tienduizenden endpoints, honderden applicaties, tientallen cloudaccounts, en duizenden leveranciers. Ze allemaal met dezelfde diepgang proberen te inventariseren levert een project op dat nooit klaar is. De NIS2-aanpak versmalt het veld in een voorspelbare volgorde.
Stap 1: breng de essentiële en belangrijke diensten in kaart
Begin bovenaan. Welke diensten vallen onder de scope van NIS2? Voor een ziekenhuis is dit meestal klinische zorg plus ondersteunende digitale systemen. Voor een cloudprovider is dit de specifieke dienst waarvoor ze onder toezicht staan. Voor een fabrikant kan dit industriële besturing van productielijnen zijn. De meeste entiteiten hebben minder dan 10 diensten binnen scope. Schrijf die eerst op.
Stap 2: breng per dienst de ondersteunende systemen in kaart
Breng voor elke dienst de applicaties en systemen in kaart die hem ondersteunen, op het niveau van de bedrijfsapplicatie. Niet elke server, niet elke container. Dit levert doorgaans 20 tot 200 items op voor een typische entiteit binnen scope. Elk item heeft een naam, een business owner, een technisch eigenaar, en een primaire koppeling aan een dienst.
Stap 3: breid uit naar data, identiteit, en derde partijen
Leg voor elk systeem vast welke gevoelige datacategorieën het verwerkt, welke identity provider de toegang ertoe beheert, en van welke diensten van derde partijen het afhankelijk is (cloudprovider, SaaS-leverancier, managed service). Dit levert de afhankelijkheidsgraaf op die de rest van artikel 21 aanstuurt.
Stap 4: stem af met discovery-tooling
Gebruik nu je CMDB, EDR, cloudinventaris, en SaaS-discoverytools om hardware, software, en diensten te vinden die niet aan een regel in de inventaris zijn gekoppeld. Elk niet-gekoppeld asset wordt toegevoegd (met een koppeling aan een dienst) of uitgefaseerd. Deze afstemming vindt shadow IT, verweesde systemen, en vergeten testomgevingen, veelvoorkomende bronnen van incidenten.
Begin top-down, niet bottom-up: De programma's die slagen beginnen bij de diensten en werken van daaruit naar beneden. Degene die vastlopen beginnen met het exporteren van de CMDB en proberen 20.000 regels te categoriseren. De top-down aanpak levert meestal binnen vier tot zes weken een bruikbare eerste versie op. Bottom-up projecten leveren zelden iets bruikbaars op.
Wat elke regel van de inventaris moet bevatten
Een minimale set velden die voldoet bij toezicht en de rest van het artikel 21-programma ondersteunt. Meer velden zijn nuttig, maar dit zijn de dragende.
Minimale velden voor de inventaris van kritieke assets
- Asset-ID. Een stabiele interne identifier, idealiter een die naamswijzigingen en toolingwissels overleeft.
- Naam en korte omschrijving. Wat het asset is, in gewone taal.
- Categorie. Een van: applicatie, infrastructuur, data, identiteitsdienst, clouddienst, dienst van derde partij, operationele technologie.
- Ondersteunt dienst(en). De essentiële of belangrijke dienst(en) die dit asset ondersteunt. Eén op meerdere.
- Business owner. De met naam genoemde persoon in de business die verantwoordelijk is voor de rol van het asset.
- Technisch eigenaar. De met naam genoemde persoon in IT of security die verantwoordelijk is voor het beheer ervan.
- Criticaliteitsniveau. Een simpele schaal met drie niveaus (niveau 1 bedrijfskritisch, niveau 2 belangrijk, niveau 3 standaard), consistent toegepast.
- Dataclassificatie. De hoogste classificatie van data die het asset verwerkt.
- Hosting. On-premises, genoemde cloudprovider, of SaaS van een derde partij.
- Belangrijkste afhankelijkheden. Andere asset-ID's, leveranciers, of gedeelde diensten waar dit asset van afhankelijk is.
- Hersteldoelen. RTO en RPO, minimaal voor assets van niveau 1 en niveau 2.
- Datum laatste evaluatie. Wanneer het item voor het laatst is geverifieerd, en door wie.
Wat je weglaat
Een inventaris die alles probeert te zijn, verliest zijn nut. Drie categorieën kun je bewust weglaten uit de inventaris van kritieke assets en apart beheren in eigen registers of tooling.
- Individuele endpoints. Laptops en werkstations horen thuis in het endpointbeheersysteem en de EDR-console. Ze opnemen in de kritieke inventaris levert ruis op zonder signaal toe te voegen. Volg ze geaggregeerd.
- Kantoorapparatuur. Printers, vergaderruimtesystemen, en vergelijkbare apparatuur worden elders beheerd. Neem ze alleen op als ze in een netwerkpad zitten dat relevant is voor een dienst van niveau 1.
- Niet-productieomgevingen onder niveau 2. Test- en ontwikkelsystemen hebben vaak minder beveiliging. Ze horen in een apart register, gemarkeerd voor segmentatiereview, in plaats van in de kritieke inventaris zelf.
De inventaris actueel houden
De inventaris waarmee een NIS2-programma van start gaat, is zelden dezelfde inventaris die een jaar later actueel is. Drie mechanismen houden hem eerlijk.
- Jaarlijkse bevestiging door de eigenaar. Business owners en technisch eigenaren bevestigen of updaten hun items eens per jaar. Een bevestigingscampagne levert gedocumenteerde evaluatiedata op, waar toezichthouders naar zoeken.
- Update naar aanleiding van een gebeurtenis. Nieuwe inkoop, grote releases, uitfasering, en leverancierswijzigingen moeten doorstromen naar de inventaris. Een change control-poort die een update van de inventaris vereist vóór deployment is de simpelste manier om dit af te dwingen.
- Maandelijkse afstemming. Geautomatiseerde vergelijking van de inventaris met discovery-tooling (cloud-API's, SaaS-discovery, netwerkscans) signaleert afwijking. Afwijking die niet wordt opgelost, wordt een auditbevinding.
Een startertemplate om te kopiëren
De snelste manier om te beginnen is één spreadsheet met de 12 bovenstaande velden. Kies nog geen tool. Een werkende spreadsheet met 50 echte regels is waardevoller dan een perfecte CMDB met nul regels. Tooling kan later komen, zodra het datamodel is getest tegen echte vragen.
Een praktisch patroon voor week één: ga twee uur zitten met de CIO of CISO. Breng de essentiële en belangrijke diensten in kaart. Schets per dienst de top 10 ondersteunende systemen. Wijs elke regel een business owner en technisch eigenaar toe. Die output is al meer dan de meeste organisaties onder toezicht kunnen laten zien. Weken twee tot vier breid je uit, stem je af, en verfijn je.
Veelgestelde vragen
Vereist NIS2 expliciet een assetinventaris?
Ja, indirect. Artikel 21(2)(i) noemt assetbeheer als verplichte maatregel. Risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, en ketenbeheer leunen allemaal op een werkende inventaris van de assets binnen scope. Toezichthouders vragen ernaar op dag één van een inspectie.
Wat telt als een kritiek asset onder NIS2?
Elk asset waarvan verlies, compromittering, of onbeschikbaarheid de levering van de essentiële of belangrijke diensten van de entiteit materieel raakt. Dit omvat hardware, software, data, cloudresources, identiteiten, en diensten van derde partijen die deze diensten ondersteunen. Ook niet-IT-assets zoals SCADA-apparaten en fysieke faciliteiten kunnen hieronder vallen.
Hoe gedetailleerd moet de NIS2-assetinventaris zijn?
Gedetailleerd genoeg dat elk item een genoemde eigenaar, een classificatie, en een duidelijke koppeling aan de dienst die het ondersteunt heeft. Een regel per werkstation is meestal te gedetailleerd; een regel per bedrijfsdienst meestal te grof. Het niveau van systeem of applicatie is voor de meeste entiteiten de praktische eenheid.
Hoe vaak moet de NIS2-assetinventaris worden geëvalueerd?
Minimaal jaarlijks, met updates naar aanleiding van grote inkoop, uitfasering, fusies, en onboarding van nieuwe leveranciers. Maandelijkse afstemming met discovery-tooling is goede praktijk voor de hardware- en softwarelagen. Elke evaluatiecyclus heeft een gedateerde goedkeuring van de asseteigenaar nodig om stand te houden bij inspectie.
Hebben we een specifieke tool nodig voor de NIS2-assetinventaris?
Nee, niet aanvankelijk. Een onderhouden spreadsheet met de juiste kolommen en duidelijk eigenaarschap wint het van een lege CMDB. Toolselectie gaat makkelijker zodra het datamodel een paar maanden is getest tegen echte risico- en incidentvragen. Toezichthouders controleren nauwkeurigheid en eigenaarschap, niet de gebruikte software.
Wie hoort de NIS2-assetinventaris binnen de organisatie te bezitten?
Eén met naam genoemde rol, meestal de CISO of hoofd IT-risico, bezit de masterinventaris. Elke regel heeft een genoemde business owner die verantwoordelijk is voor de dienst die het asset ondersteunt, en een technisch eigenaar die verantwoordelijk is voor het beheer. Dit dual ownership-model is waar auditors naar zoeken bij steekproefregels.
Moet de NIS2-assetinventaris leveranciers en clouddiensten bevatten?
Ja. Artikel 21(2)(d) over ketenveiligheid betekent dat de inventaris de afhankelijkheden van elk asset van leveranciers, managed service providers, en cloudplatforms moet markeren. Een SaaS-platform dat een essentiële dienst ondersteunt valt binnen scope, ook al beheert de entiteit het niet zelf. Zonder dit heeft ketenrisicoanalyse geen fundament.
Een inventaris van kritieke assets in vier weken, niet vier kwartalen?
We helpen organisaties binnen scope een op diensten afgestemde inventaris te bouwen die risicoanalyse, incidentafhandeling, en ketenmapping voedt. Startertemplate, scoping via workshop, bevestigingsproces voor eigenaren, en afstemming met je bestaande tooling.
Plan een inventarisworkshop