Wie hängen Asset- und Risikomanagement in NIS2-Programmen zusammen?

Asset-Management und Risikomanagement bilden das praktische Rückgrat eines NIS2-konformen Cybersicherheitsprogramms. Sie können nicht schützen, was Sie nicht verstehen, und Sie können ohne konsistente Risikosicht nicht priorisieren. Asset-Management beginnt damit, die Systeme, Anwendungen, Dienste und Daten zu identifizieren, die kritische Abläufe stützen. Es erfasst zudem Eigentümerschaft, Abhängigkeiten und Klassifizierung, damit Entscheidungen zugewiesen und begründet werden können.

Das Risikomanagement bewertet anschliessend, wie Bedrohungen und Schwachstellen diese Assets und Dienste beeinträchtigen könnten. Ziel ist nicht ein langes Register, sondern die Unterstützung von Entscheidungen: was zuerst verbessert wird, was getestet wird, wo investiert wird und welche Reaktionsfähigkeiten erforderlich sind. Im NIS2-Kontext gehören dazu technische Risiken, operative Risiken, Abhängigkeiten von Dritten und die Fähigkeit, Vorfälle in grösserem Umfang zu bewältigen.

Zusammen steuern Assets und Risiken die Auswahl von Sicherheitskontrollen für Infrastruktur und Anwendungen. Sie prägen auch die Pläne zur Vorfallsreaktion: welche Erkennung nötig ist, welche Eskalationswege wichtig sind, welche Krisenkoordination erforderlich ist und wie die Wiederherstellung unter Kontinuitätsgesichtspunkten erfolgt. Diese Verbindung verhindert den häufigen Fehler, dass Kontrollen ohne Bezug zur geschäftlichen Kritikalität umgesetzt werden.

Aus Umsetzungssicht zählt die Wiederholbarkeit. Asset-Daten müssen gepflegt, Risikobeurteilungen aktualisiert und die Auswirkungen von Technologie- oder Diensteänderungen auf die Sicherheitslage nachverfolgt werden. Deshalb sind Überwachung, Kennzahlen und Managementbewertung unverzichtbar. Sie schliessen den Regelkreis zwischen Kontrollen, Vorfällen und Verbesserungsentscheidungen und schaffen Nachweise für die Reife des Programms.