# AM-02 Asset-Inventar

- Bereich: AM – Asset Management
- Gegenüber C5:2020: geändert (vorher AM-01)
- Webseite: https://c5.patrickscheid.de/am-02/

## Basiskriterium

### AM-02.01B

Der Cloud-Anbieter führt ein Asset-Inventar von Hardware- und Software-Assets gemäß dem Rahmenwerk für Asset Management (vgl. AM-01).

**Ergänzende Information (zu 01B, 02B, 03B, 04B, 05B):**

Cloud-Anbieter, die ihre Cloud-Infrastruktur als virtuelle Infrastruktur von einer Service-Organisation beziehen (z. B. virtuelle Maschinen oder Container), können von der Service-Organisation bereitgestellte Werkzeuge verwenden, um diese Assets zu inventarisieren, sofern der Cloud-Anbieter diese auf der Grundlage seines Rahmenwerks für Asset Management als geeignet erachtet.

In der Praxis kann die Umsetzung des Asset-Inventars je nach Anzahl, Größe und Komplexität der bereitgestellten Cloud-Dienste stark variieren.

### AM-02.02B

Die Inventarisierung erfolgt automatisch und/oder durch für die Assets zuständige Personen oder Gruppen, um eine vollständige, richtige, gültige und konsistente Erfassung über den Lebenszyklus der Assets sicherzustellen.

### AM-02.03B

Zu den Assets werden jene Informationen erfasst, die zur Anwendung des Risikomanagement-Verfahrens (vgl. OIS-07), einschließlich der Maßnahmen zur Behandlung dieser Risiken über den Lebenszyklus der Assets benötigt werden.

### AM-02.04B

Änderungen an den erfassten Informationen eines Assets werden protokolliert.

### AM-02.05B

Der Cloud-Anbieter führt Listen aller Benutzer in seinem Verantwortungsbereich, die Zugriff auf eine bestimmte Ressource haben, zusammen mit ihren jeweiligen Zugriffsrechten.

**Ergänzende Information:**

Diese Listen können, müssen aber nicht, durch das Inventarsystem bereitgestellt werden, das durch die Kriterien AM-02, AM-03 und AM-04 eingerichtet wird.

## Zusatzkriterium

### AM-02.01AC (Zusatz, erweiternd)

Der Cloud-Anbieter stellt sicher, dass das Asset-Inventar aktuell ist, indem er Überwachungsmaßnahmen für den Prozess implementiert, der es pflegt.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Replaced requirement for inventorying assets with the more specific requirement of maintaining hardware and software asset inventories.

Added requirement about maintaining a list of users with access to a specific resource and their respective access rights.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.