Gerätebestände in IT und OT

Was unterscheidet ITAM und OTAM im Betrieb?

Die folgende Abgrenzung ist ein Arbeitsmodell für Security und Betrieb, keine normative Definition. ITAMITAM steht für IT Asset Management und beschreibt die strukturierte Erfassung und Pflege von IT-Assets über ihren betrieblichen Lebenszyklus. konsolidiert den technischen und organisatorischen Kontext von IT-Assets. OTAM erweitert ihn um den physischen Prozess. CISAGemeinsamer Behördenleitfaden von August 2025 zum Aufbau eines OT-Asset-Inventars mit Taxonomie, Datenmanagement und Lebenszykluspflege. verlangt für OTOT umfasst Hardware und Software, die physische Geräte, Anlagen, Prozesse oder Infrastrukturen überwacht und steuert. deshalb neben dem Inventar eine Taxonomie nach Funktion oder Kritikalität sowie dokumentierte Kommunikationswege und Abhängigkeiten.

Welche Daten gehören in ein belastbares OT-Asset-Inventar?

CISAGemeinsamer Behördenleitfaden von August 2025 zum Aufbau eines OT-Asset-Inventars mit Taxonomie, Datenmanagement und Lebenszykluspflege. priorisiert für jedes OT-AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist. 14 Attribute, darunter Kritikalität, Rolle oder Typ, Hersteller, Modell, Betriebssystem, Hostname, IP- und MAC-Adresse, Standort, Protokolle, Ports und Dienste, Benutzerkonten sowie Logging. Diese Felder bilden den technischen Kern. Für den Betrieb müssen Herkunft, Beziehungen und Verantwortlichkeit hinzukommen.

• Identität: eindeutige AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist.-Nummer, Hersteller, Modell, Hostname sowie IP- und MAC-Adresse
• Technischer Zustand: Betriebssystem, Firmware oder Software, aktive Protokolle, Ports und Dienste
• Betriebskontext: Rolle oder Typ, physischer Standort, ZoneZones & Conduits ist ein IEC-62443-Konzept, das Systeme mit ähnlichem Schutzbedarf in Sicherheitszonen gruppiert und erlaubte Kommunikationswege zwischen diesen Zonen als Conduits beschreibt., Kommunikationswege und Prozessabhängigkeiten
• Security-Kontext: Kritikalität, Logging, Benutzerkonten und vorhandene technische Kontrollen
• Verantwortung: zuständige Person, technischer Betreiber, Instandhaltung und beteiligte Dienstleister
• Evidenz: Datenquelle, Erfassungszeitpunkt, Änderungsverlauf und Status der Validierung

Der BSI-AnforderungskatalogBSI-Anforderungskatalog vom 10. September 2024 zur Konkretisierung der Kriterien nach § 8a Absatz 1 und 1a BSIG, einschließlich Asset-Inventar, Klassifikation, Netztopologie und Änderungsmanagement. ergänzt für relevante KRITISKRITIS ist die in Deutschland gebräuchliche Abkürzung für Kritische Infrastrukturen, also Einrichtungen und Dienste mit besonderer Bedeutung für das Gemeinwesen.-Assets eine eindeutige Verantwortungszuweisung über den gesamten Lebenszyklus und eine einheitliche, risikobasierte Klassifikation. Ein gemeinsames IT-/OT-Modell sollte diese organisatorischen Felder deshalb genauso belastbar behandeln wie technische Merkmale.

Wie wird ein OT-Asset-Inventar nach CISA aufgebaut?

CISAGemeinsamer Behördenleitfaden von August 2025 zum Aufbau eines OT-Asset-Inventars mit Taxonomie, Datenmanagement und Lebenszykluspflege. beschreibt einen fünfstufigen Prozess vom festgelegten Scope bis zum Lebenszyklusmanagement. Das Ergebnis ist kein einmaliger Scan, sondern ein gepflegtes Inventar mit validierter Taxonomie.

1. 01Scope festlegenZonen, Standorte und Verantwortliche
2. 02Assets erfassenPhysische und digitale Quellen
3. 03Beziehungen ordnenFunktion, Kritikalität und Kommunikation
4. 04Daten prüfenRichtigkeit und Vollständigkeit
5. 05Änderungen pflegenInbetriebnahme, Wartung und Außerbetriebnahme

Die fünf CISA-Schritte im Überblick. Änderungen im gesamten Lebenszyklus fließen weiter in das Inventar ein.

1. Scope und Ziele definieren

   Governance, Rollen und Programmgrenzen werden festgelegt. ZonenZones & Conduits ist ein IEC-62443-Konzept, das Systeme mit ähnlichem Schutzbedarf in Sicherheitszonen gruppiert und erlaubte Kommunikationswege zwischen diesen Zonen als Conduits beschreibt., Standorte und Systeme gehören ebenso zum Scope wie eine klare Definition, was als Asset gilt.

2. Assets und Attribute erfassen

   Physische Inspektion und logische Bestandsaufnahme werden mit digitalen und netzwerkbasierten Informationen kombiniert. Auch dokumentierte AssetsEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist. und Infrastrukturabhängigkeiten werden einbezogen.

3. Taxonomie und Beziehungen aufbauen

   AssetsEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist. werden nach Funktion oder Kritikalität klassifiziert. Kommunikationswege, Zonen, Prozessabhängigkeiten, Namenskonventionen sowie Rollen von Betreibern und Dienstleistern werden dokumentiert.

4. Daten validieren und verwalten

   Inventardaten werden auf Richtigkeit und Vollständigkeit geprüft, Beziehungen visualisiert und durch Herstellerunterlagen, Wartungsdaten, Konfigurationen und Betriebsdaten ergänzt.

5. Lebenszyklus integrieren

   Beschaffung, Bereitstellung, Inbetriebnahme, Wartung und Außerbetriebnahme werden mit dem Inventar verknüpft. Hinzugefügte oder entfernte Geräte müssen auch bei Notfalländerungen zu einem Inventar-UpdateGemeinsamer Behördenleitfaden von August 2025 zum Aufbau eines OT-Asset-Inventars mit Taxonomie, Datenmanagement und Lebenszykluspflege. führen.

Welche Anforderungen ergänzt der BSI-Katalog für KRITIS?

Der BSI-KatalogBSI-Anforderungskatalog vom 10. September 2024 zur Konkretisierung der Kriterien nach § 8a Absatz 1 und 1a BSIG, einschließlich Asset-Inventar, Klassifikation, Netztopologie und Änderungsmanagement. konkretisiert die Kriterien des § 8a Absatz 1 und 1a BSIG für KRITIS-BetreiberKRITIS ist die in Deutschland gebräuchliche Abkürzung für Kritische Infrastrukturen, also Einrichtungen und Dienste mit besonderer Bedeutung für das Gemeinwesen. und dient als Orientierung bei der Auswahl geeigneter Prüfmaßstäbe. Das BSI weist zugleich darauf hin, dass die einzelnen Kriterien nicht automatisch verbindlich sind. Ihre Angemessenheit ist im jeweiligen Betreiberkontext zu bewerten.

• Inventarqualität (AM-01): vollständig, richtig, aktuell und konsistent, Änderungen nachvollziehbar historisieren und fehlende Automatisierung durch regelmäßige manuelle Prüfungen ausgleichen
• Verantwortlichkeit (AM-02): jedes relevante AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist. einer verantwortlichen Person auf Betreiberseite zuweisen und über den gesamten Lebenszyklus korrekt inventarisieren und klassifizieren
• Klassifikation (AM-05): Informationen und AssetsEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist. einheitlich auf Basis von Risikoanalyse und Folgeabschätzung klassifizieren
• Netztopologie (KOS-06): Architektur aktuell und nachvollziehbar dokumentieren, einschließlich unterschiedlicher Umgebungen, Netzsegmente und Datenflüsse
• Änderungsmanagement (BEI-03 bis BEI-10): Risiken bewerten, Änderungen kategorisieren und priorisieren, Tests und Freigaben dokumentieren, Rollback ermöglichen und Notfalländerungen nachvollziehen

Was daraus für Nicht-KRITIS-Organisationen folgt

Der BSIDas BSI ist die zentrale deutsche Bundesbehörde für Cyber- und Informationssicherheit.-Katalog ist hier kein pauschaler Pflichtenkatalog. Seine Qualitätsmerkmale eignen sich aber als überprüfbare Leitplanken: Ist der Bestand vollständig und aktuell, sind Verantwortungen klar, ist die Klassifikation nachvollziehbar und aktualisiert das Änderungsmanagement auch das Inventar?

Wie werden ITAM und OTAM praktisch zusammengeführt?

Ein gemeinsames Modell vereinheitlicht Identität, Evidenz und Qualitätsregeln. ITIT umfasst Systeme, Netzwerke und Software, die Informationen verarbeiten, speichern, übertragen oder bereitstellen. und OT behalten jedoch ihre eigenen Erfassungswege, Freigaben und Betriebsgrenzen.

1. Mit einem belastbaren Scope beginnen

   Einen kritischen Dienst, Standort, eine ZoneZones & Conduits ist ein IEC-62443-Konzept, das Systeme mit ähnlichem Schutzbedarf in Sicherheitszonen gruppiert und erlaubte Kommunikationswege zwischen diesen Zonen als Conduits beschreibt. oder Produktionslinie auswählen, den Asset-Begriff festlegen und Verantwortliche benennen.

2. Quellen getrennt erfassen

   ITIT umfasst Systeme, Netzwerke und Software, die Informationen verarbeiten, speichern, übertragen oder bereitstellen.-Systemquellen, physische Bestandsaufnahme, Netzwerkdaten, Engineering-Unterlagen und Wartungsdaten liefern Beobachtungen mit Herkunft und Zeitpunkt.

3. Identitäten und Beziehungen abgleichen

   Dubletten und Widersprüche werden aufgelöst. ZonenZones & Conduits ist ein IEC-62443-Konzept, das Systeme mit ähnlichem Schutzbedarf in Sicherheitszonen gruppiert und erlaubte Kommunikationswege zwischen diesen Zonen als Conduits beschreibt., Kommunikationswege, Dienste und Prozessabhängigkeiten bleiben als Beziehungen erhalten.

4. Verantwortung und Klassifikation ergänzen

   Jedes relevante AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist. erhält eine zuständige Person, eine betriebliche Rolle und eine nachvollziehbare Kritikalitäts- oder Risikoklassifikation.

5. Änderungen zu Inventarereignissen machen

   Inbetriebnahme, Wartung, Austausch und Außerbetriebnahme aktualisieren das Inventar. Regelmäßige Validierung prüft Vollständigkeit, Richtigkeit, Aktualität und Konsistenz.