ISO 27001 Asset-Inventar (A.5.9) in Jira — Praxisleitfaden
Maßnahme A.5.9 verlangt ein gepflegtes Asset-Inventar mit Eigentümern. So baut und belegt ihr es in Jira statt in Excel.
ISO 27001 · A.5.9 — „Inventar der Informationen und zugehörigen Werte" klingt simpel: eine Liste der Assets führen und festhalten, wem sie gehören. Im Audit ist es selten so simpel, denn der Auditor will keine Liste — er will den Beleg, dass die Liste korrekt, mit Eigentümern versehen und gepflegt ist. Ist euer Inventar ein Excel-Export, scheitert es genau daran.
Diese Anleitung zeigt, wie ihr ein ISO-27001-Asset-Inventar in Jira aufbaut, wie A.5.9-Nachweise aussehen und wie das Inventar audit-bereit bleibt — ohne Abgleichschleife über Tabellen.
HINWEIS: Scannix hilft beim Nachweis von A.5.9. Es zertifiziert euch nicht und „macht euch nicht ISO-27001-konform" — die Zertifizierung kommt von eurem Auditor und eurem gesamten ISMS.
Was A.5.9 wirklich verlangt
Liest man die Maßnahme mit Auditor-Augen, müsst ihr zeigen:
- Ein Inventar der Assets (Hardware und die Informationen darauf).
- Einen Eigentümer je Asset.
- Dass das Inventar korrekt und gepflegt ist — überprüft in definiertem Rhythmus.
- Nachweise dieser Pflege — nicht nur den Ist-Zustand, sondern den Beleg, dass er gehalten wird.
Bei den meisten Teams klafft die Lücke bei den letzten beiden Punkten. Eine einmalige Tabelle kann Assets und Eigentümer auflisten; fortlaufende Verifizierung beweist sie nicht. Dasselbe Inventar dient übrigens zugleich als Nachweis für DSGVO Artikel 32 — eine Maßnahme, zwei Frameworks.
Warum Jira der richtige Ort dafür ist
Betreibt ihr Jira Service Management mit Assets, modelliert eure CMDB bereits Assets, Eigentümer und Beziehungen. Das Inventar dort zu führen heißt: eine Quelle der Wahrheit — kein Export, der ab Sekunde eins von der Realität wegdriftet. Was Jira von Haus aus nicht kann, ist die physische Verifizierung: bestätigen, dass das Asset aus der CMDB tatsächlich vor Ort existiert. Genau dieses Stück kommt dazu.
Aufbau und Nachweis mit Scannix
Scannix macht aus euren Jira-Assets-Daten einen wiederholbaren A.5.9-Workflow:
- Planen — Audit anlegen und per Schema, Objekttyp oder AQL scopen (z. B. alle Laptops eines Standorts).
- Zuweisen — jede prüfende Person sieht nur ihre eigenen Audits; ein Review über mehrere Standorte bleibt organisiert.
- Scannen — Assets per QR/Barcode mit der kostenlosen iPhone-App verifizieren; funktioniert offline, blockiert Doppelscans.
- Berichten — gescannt vs. fehlend live sehen, mit Zeitstempeln pro Person und CSV-Export.
- Handeln — das Audit mit Jira-Vorgängen verknüpfen und fehlenden Assets über normale Workflows nachgehen.
Audit-Scope über Schema, Objekttyp oder AQL
Das Ergebnis — zeitgestempelt, pro Person, exportierbar — ist genau der Pflege-Nachweis, nach dem A.5.9-Prüfer suchen. (Neu im Thema? Startet mit dem Schritt-für-Schritt-Audit-Leitfaden.)
„Gepflegt" — und zwar automatisch
A.5.9 hängt am Wort gepflegt. Die Inventur jedes Quartal manuell neu anzustoßen — genau da rutschen Programme ab. Jira Automation kann Audits nach Zeitplan öffnen, starten und schließen: Die Verifizierung läuft im Rhythmus, und jeder Durchlauf dokumentiert sich selbst. Statt einer einzelnen veralteten Liste entsteht eine Spur datierter Audit-Zyklen — dieselbe zeitraumdeckende Evidenz, die auch ein SOC-2-Type-II-Audit erwartet.
FAQ
Verlangt A.5.9 physisches Scannen?
Die Maßnahme verlangt ein gepflegtes Inventar mit Eigentümern — keine bestimmte Methode. Physische Verifizierung per Scan ist ein praktischer Weg zu belegen, dass das Inventar stimmt — und genau dort bohren Auditoren nach.
Kann ich meine vorhandenen Barcodes weiterverwenden?
Ja. Scannix liest die QR-Codes und Barcodes, die schon auf euren Assets kleben — kein Umetikettierungs-Projekt, kein vordefiniertes Barcode-Setup.
Was bekommt der Auditor daraus?
Einen exportierbaren Nachweis mit jedem Asset, seinem Eigentümer und der Angabe, wer es wann verifiziert hat — plus eine Historie geplanter Audit-Zyklen, die belegt, dass das Inventar gepflegt wird.
Funktioniert es offline in Serverräumen und Lagern?
Ja. Ihr könnt offline scannen und synchronisiert mit Jira, sobald ihr wieder online seid — wichtig überall dort, wo es kein verlässliches WLAN gibt.
Wo liegen die Daten?
In eurer Atlassian-Site. Scannix läuft auf Atlassian Forge; nichts wird auf einen externen Server kopiert.
Wie halte ich das Inventar für A.5.9 „gepflegt"?
Plant die Verifizierung mit Jira Automation: Audits öffnen, starten und schließen sich in festem Rhythmus, und jeder Zyklus hinterlässt einen datierten Nachweis — eine Spur, die zeigt, dass das Inventar gepflegt wird statt vor dem Audit neu gebaut.
Wie begrenze ich ein Audit auf einen Standort?
Nutzt beim Anlegen einen AQL-Filter — z. B. objectType = "Laptop" AND "Location" = "Büro Berlin" — oder speichert eine Vorlage pro Standort und verwendet sie wieder.
Macht A.5.9 zum Workflow statt zur Tabelle
Euer ISO-27001-Asset-Inventar sollte kein Dokument sein, das ihr vor jedem Audit neu zusammenbaut. Betreibt es als wiederholbaren, geplanten Workflow in Jira — und exportiert die Nachweise, wenn der Auditor fragt.