Die meisten Unternehmen führen für ein und dasselbe System vier verschiedene Dokumentationen: das Asset-Inventar der IT, das Verzeichnis von Verarbeitungstätigkeiten des Datenschutzes, die Risikobewertung der Informationssicherheit und die Lieferantenbewertung des Einkaufs. Diese Anleitung zeigt, wie ein einziges Feldschema alle vier Sichten gleichzeitig bedient.
Executive Summary
1. Ausgangslage: eine Realität, vier Dokumente
Ein ERP-System verarbeitet personenbezogene Daten, unterstützt kritische Geschäftsprozesse, kann eine KI-Komponente enthalten und gehört gleichzeitig zur IT-Infrastruktur. Aus Sicht der DSGVO ist es eine Verarbeitungstätigkeit, aus Sicht der NIS-2 ein kritisches Asset, aus Sicht des EU AI Act möglicherweise ein Hochrisiko-System, aus Sicht der ISO 27001 ein Bestandteil des ISMS-Geltungsbereichs.
Werden diese vier Sichten getrennt gepflegt, entstehen zwangsläufig Widersprüche: unterschiedliche Verantwortliche, unterschiedliche Aktualisierungsstände, unterschiedliche Risikobewertungen für dasselbe System. Ein Cross-Framework-Asset-Inventar löst dieses Problem, indem es ein Asset einmal beschreibt und die vier Framework-Sichten als Felder desselben Datensatzes abbildet.
2. Wer ist betroffen?
- Unternehmen, die gleichzeitig unter DSGVO, NIS-2, EU AI Act und ISO 27001 fallen oder sich zertifizieren lassen
- IT-Leiter, die das Asset-Inventar operativ pflegen
- Datenschutzbeauftragte, die das Verzeichnis von Verarbeitungstätigkeiten führen
- Informationssicherheitsbeauftragte, die Risikobewertungen und ISMS-Geltungsbereich verantworten
- Auditoren, die Nachweise über mehrere Frameworks hinweg prüfen
3. Wie hoch ist die Priorität?
Innerhalb von sechs Monaten. Es besteht keine akute gesetzliche Frist, aber jeder Audit-Zyklus ohne einheitliches Inventar vergrößert den Rückstand: Neue Assets werden weiterhin viermal erfasst, bestehende Widersprüche wachsen. Je länger das Zusammenführen aufgeschoben wird, desto aufwendiger wird die spätere Migration der Bestandsdaten.
4. Warum ist das wichtig?
Getrennte Dokumentationen bedeuten im Audit ein doppeltes Risiko: Entweder die Aussagen zu einem Asset widersprechen sich, was Auditoren als Kontrollschwäche werten, oder der Pflegeaufwand für vier parallele Dokumente bindet so viel Kapazität, dass Aktualisierungen ausbleiben. Beides erhöht das Bußgeldrisiko bei DSGVO- und NIS-2-Verstößen und gefährdet die ISO-27001-Zertifizierung, die eine nachweisbar gepflegte Risikobewertung voraussetzt.
Ein gemeinsames Datenmodell reduziert nicht nur Doppelarbeit. Es macht auch neue regulatorische Anforderungen einfacher zu integrieren, weil ein neues Framework lediglich neue Felder am bestehenden Asset benötigt, statt eine fünfte Dokumentation aufzubauen.
5. Was muss konkret getan werden? Das Feldschema
Jedes Asset erhält eine eindeutige ID und vier Feldgruppen, eine pro Framework:
Basisfelder
- Asset-ID, Name, Kategorie, Owner, Standort
- Status (aktiv, geplant, stillgelegt)
DSGVO-Felder
- Verarbeitungstätigkeit ja/nein, Kategorien personenbezogener Daten, Rechtsgrundlage, Auftragsverarbeiter ja/nein
NIS-2-Felder
- Kritisches Asset ja/nein, Netzsegment, Kritikalitätsstufe, Meldepflicht bei Vorfall ja/nein
EU-AI-Act-Felder
- KI-Komponente ja/nein, Risikoklasse, betroffener Anhang (I oder III), Frist für vollständige Anwendung
ISO-27001-Felder
- Im ISMS-Geltungsbereich ja/nein, Schutzbedarf Vertraulichkeit/Integrität/Verfügbarkeit, verknüpfte Risikoregister-ID
Schrittfolge für die Einführung:
- ✓ Bestehende IT-Asset-Liste als Ausgangsbasis nehmen und eindeutige IDs vergeben
- ✓ Verzeichnis von Verarbeitungstätigkeiten und Risikoregister gegen die Asset-Liste abgleichen
- ✓ Fehlende oder widersprüchliche Einträge klären, bevor Felder ergänzt werden
- ✓ Die vier Feldgruppen pro Asset ergänzen, beginnend mit den kritischsten Systemen
- ✓ Verantwortlichkeiten pro Feldgruppe eindeutig einer Rolle zuordnen
BAM Core
Cross-Framework-Asset-Inventar als fertiges Datenmodell
DSGVO, NIS-2, EU AI Act und ISO 27001 in einer Datenbasis, offen einsehbarer Kern.
Executable Compliance ansehen →6. Welche Dokumente werden benötigt?
- Bestehendes IT-Asset-Register als Ausgangsdatenbasis
- Verzeichnis von Verarbeitungstätigkeiten (DSGVO Art. 30)
- Risikoregister und ISMS-Geltungsbereichsdokument (ISO 27001)
- NIS-2-Kritikalitätsbewertung, sofern bereits vorhanden
7. BAM-Mapping
| Framework | Kapitel | Kontrolle | Dokument | Verantwortlich | Priorität |
|---|---|---|---|---|---|
| ISO 27001 | Asset Management | Asset Inventory | Asset-Register | IT-Leiter | hoch |
| DSGVO | Verarbeitungstätigkeiten | Verzeichnisführung Art. 30 | VVT | Datenschutzbeauftragter | hoch |
| NIS-2 | Asset Management | Kritikalitätsbewertung | Asset-Register | Informationssicherheitsbeauftragter | mittel |
| EU AI Act | Risikoklassifizierung | Anhang-I/III-Zuordnung | Asset-Register | IT-Leiter | mittel |
Verknüpfte Frameworks: DSGVO · NIS-2 · EU AI Act · ISO 27001
8. Unsere Empfehlung
Unsere Empfehlung
- Eine eindeutige Asset-ID als gemeinsamen Schlüssel für alle vier Frameworks einführen
- Mit den kritischsten Assets beginnen statt einer vollständigen Ersterfassung aller Systeme
- Bestehende Dokumentationen abgleichen und Widersprüche vor der Migration klären
- Jede Feldgruppe einer eindeutig dokumentierten Rolle zuordnen
- Das Inventar quartalsweise gegen Neuzugänge und Außerbetriebnahmen prüfen
Quellen
- Datenschutz-Grundverordnung (DSGVO), Art. 30 (Verzeichnis von Verarbeitungstätigkeiten)
- Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2), Art. 21 (Risikomanagementmaßnahmen)
- ISO/IEC 27001:2022, Anhang A.5.9 (Inventory of Information and Other Associated Assets)
- Verordnung (EU) 2024/1689 (EU AI Act), Anhang I und Anhang III (Klassifizierung von Hochrisiko-KI-Systemen)