AM-02 Asset-Inventar
Geändert gegenüber C5:2020 · vorher AM-01
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Replaced requirement for inventorying assets with the more specific requirement of maintaining hardware and software asset inventories.
Added requirement about maintaining a list of users with access to a specific resource and their respective access rights.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider has established procedures for inventorying assets.
The inventory is performed automatically and/or by the people or teams responsible for the assets to ensure complete, accurate, valid and consistent inventory throughout the asset lifecycle.
Assets are recorded with the information needed to apply the Risk Management Procedure (Cf. OIS-07), including the measures taken to manage these risks throughout the asset lifecycle. Changes to this information are logged.
Basiskriterium
Der Cloud-Anbieter führt ein Asset-Inventar von Hardware- und Software-Assets gemäß dem Rahmenwerk für Asset Management (vgl. AM-01).
Ergänzende Information
Gilt auch für 02B, 03B, 04B, 05B
Cloud-Anbieter, die ihre Cloud-Infrastruktur als virtuelle Infrastruktur von einer Service-Organisation beziehen (z. B. virtuelle Maschinen oder Container), können von der Service-Organisation bereitgestellte Werkzeuge verwenden, um diese Assets zu inventarisieren, sofern der Cloud-Anbieter diese auf der Grundlage seines Rahmenwerks für Asset Management als geeignet erachtet.
In der Praxis kann die Umsetzung des Asset-Inventars je nach Anzahl, Größe und Komplexität der bereitgestellten Cloud-Dienste stark variieren.
Die Inventarisierung erfolgt automatisch und/oder durch für die Assets zuständige Personen oder Gruppen, um eine vollständige, richtige, gültige und konsistente Erfassung über den Lebenszyklus der Assets sicherzustellen.
Ergänzende Information
Gilt auch für 01B, 03B, 04B, 05B
Cloud-Anbieter, die ihre Cloud-Infrastruktur als virtuelle Infrastruktur von einer Service-Organisation beziehen (z. B. virtuelle Maschinen oder Container), können von der Service-Organisation bereitgestellte Werkzeuge verwenden, um diese Assets zu inventarisieren, sofern der Cloud-Anbieter diese auf der Grundlage seines Rahmenwerks für Asset Management als geeignet erachtet.
In der Praxis kann die Umsetzung des Asset-Inventars je nach Anzahl, Größe und Komplexität der bereitgestellten Cloud-Dienste stark variieren.
Zu den Assets werden jene Informationen erfasst, die zur Anwendung des Risikomanagement-Verfahrens (vgl. OIS-07), einschließlich der Maßnahmen zur Behandlung dieser Risiken über den Lebenszyklus der Assets benötigt werden.
Ergänzende Information
Gilt auch für 01B, 02B, 04B, 05B
Cloud-Anbieter, die ihre Cloud-Infrastruktur als virtuelle Infrastruktur von einer Service-Organisation beziehen (z. B. virtuelle Maschinen oder Container), können von der Service-Organisation bereitgestellte Werkzeuge verwenden, um diese Assets zu inventarisieren, sofern der Cloud-Anbieter diese auf der Grundlage seines Rahmenwerks für Asset Management als geeignet erachtet.
In der Praxis kann die Umsetzung des Asset-Inventars je nach Anzahl, Größe und Komplexität der bereitgestellten Cloud-Dienste stark variieren.
Änderungen an den erfassten Informationen eines Assets werden protokolliert.
Ergänzende Information
Gilt auch für 01B, 02B, 03B, 05B
Cloud-Anbieter, die ihre Cloud-Infrastruktur als virtuelle Infrastruktur von einer Service-Organisation beziehen (z. B. virtuelle Maschinen oder Container), können von der Service-Organisation bereitgestellte Werkzeuge verwenden, um diese Assets zu inventarisieren, sofern der Cloud-Anbieter diese auf der Grundlage seines Rahmenwerks für Asset Management als geeignet erachtet.
In der Praxis kann die Umsetzung des Asset-Inventars je nach Anzahl, Größe und Komplexität der bereitgestellten Cloud-Dienste stark variieren.
Der Cloud-Anbieter führt Listen aller Benutzer in seinem Verantwortungsbereich, die Zugriff auf eine bestimmte Ressource haben, zusammen mit ihren jeweiligen Zugriffsrechten.
Ergänzende Information
Gilt auch für 01B, 02B, 03B, 04B
Cloud-Anbieter, die ihre Cloud-Infrastruktur als virtuelle Infrastruktur von einer Service-Organisation beziehen (z. B. virtuelle Maschinen oder Container), können von der Service-Organisation bereitgestellte Werkzeuge verwenden, um diese Assets zu inventarisieren, sofern der Cloud-Anbieter diese auf der Grundlage seines Rahmenwerks für Asset Management als geeignet erachtet.
In der Praxis kann die Umsetzung des Asset-Inventars je nach Anzahl, Größe und Komplexität der bereitgestellten Cloud-Dienste stark variieren.
Zusatzkriterium
AM-02.01AC
Zusatz, erweiterndDer Cloud-Anbieter stellt sicher, dass das Asset-Inventar aktuell ist, indem er Überwachungsmaßnahmen für den Prozess implementiert, der es pflegt.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen