IT-asset management voor kmo’s: inventaris met sjabloon

IT-asset management betekent voor een kmo één actuele lijst van alle toestellen, software, clouddiensten en accounts, met per item de eigenaar, de versie en de datum waarop de ondersteuning stopt. Een spreadsheet volstaat om te beginnen.

U vult die lijst uit exports die u al hebt, zoals Microsoft Intune, Entra ID en het Microsoft 365-beheercentrum, aangevuld met facturen en leveranciers. Daarna werkt u hem bij bij elke aanwerving, elk vertrek, elke aankoop en elke nieuwe leverancier.

In het kort

• Een IT-inventaris telt vier soorten items: toestellen, software en clouddiensten, accounts, en gekoppelde installaties.
• CyberFundamentals 2025 vraagt een bijgehouden inventaris van hardware (ID.AM-01) en van software, diensten en systemen (ID.AM-02).
• Het sjabloon in dit artikel telt 13 kolommen; de kolom “einde ondersteuning” levert het meest op.
• Een lijst die bij elke aanwerving, elk vertrek en elke aankoop bijgewerkt wordt, blijft bruikbaar zonder dure tool.

Waarom IT-asset management voor een kmo begint bij één lijst

In de voorbije weken kwam op deze blog drie keer hetzelfde terug. Bij het uitschakelen van SMTP AUTH in Microsoft 365 wist niemand welke printer of scanner nog op die manier mailde. Bij de cyberaanval op de koeling van supermarkten hingen koelregelaars aan het internet zonder dat iemand ze op een lijst had. En bij het beveiligen van een gebouwbeheersysteem begint elke vraag aan de installateur met weten welke installatie er staat.

NCSC Nederland vat het samen in één zin: wat u niet kent, kunt u niet beveiligen. Een IT-inventaris maakt dat zichtbaar. Het woord “asset management” klinkt groot, maar voor een bedrijf van 20 of 80 mensen is het een spreadsheet met een tiental kolommen.

Wat hoort in een IT-inventaris?

Vier categorieën, elk met een eigen tabblad of met een kolom “categorie” in één lijst:

1. Toestellen: laptops, desktops, smartphones, servers, printers en scanners, en de netwerkapparatuur als aparte rij.
2. Software en clouddiensten: het boekhoudpakket, de CRM, Microsoft 365, de webshop, en de abonnementen die een afdeling zelf afsloot.
3. Accounts: persoonlijke accounts, maar ook gedeelde accounts, serviceaccounts en beheeraccounts. Die laatste blijven het vaakst bestaan na een vertrek.
4. Gekoppelde installaties: koeling, verwarming, toegangscontrole, camera’s, omvormers en laadpalen die een netwerkaansluiting hebben.

Het sjabloon: 13 kolommen voor uw IT-inventaris

De voorbeeldwaarden in deze tabel zijn fictief. De laatste kolom toont welk kader om dat gegeven vraagt, zodat u bij een audit meteen ziet waarom het erin staat.

Voor accounts gebruikt u een eigen tabblad met naam, type (persoonlijk, gedeeld, service- of beheeraccount), eigenaar, toegang tot welke systemen, tweestapsverificatie ja of nee, en de datum van aanmaak. Bij een vertrek is dat tabblad uw checklist; zie ook ons artikel over toegangsrechten bij een personeelswissel. Welke gegevens gevoelig zijn, bepaalt u met een eenvoudige dataclassificatie.

Zo vult u de inventaris zonder dure tool

NCSC Nederland raadt kleine organisaties aan te beginnen met een spreadsheet en pas later naar tooling over te stappen. De gegevens hebt u grotendeels al:

1. Toestellen uit Microsoft Intune. De lijst “Alle apparaten” kan geëxporteerd worden; u krijgt een zip-bestand met één csv. In Intune ziet u ook de software op beheerde toestellen onder “gevonden apps”.
2. Accounts uit Entra ID. Onder Gebruikers kunt u de lijst van alle gebruikers als csv downloaden; filters die u instelt, worden meegenomen.
3. Licenties uit het Microsoft 365-beheercentrum. Het overzicht van licenties en actieve gebruikers toont hoeveel licenties er zijn en wie ze gebruikt.
4. Clouddiensten uit facturen en de boekhouding. Abonnementen die op een kredietkaart lopen, staan zelden in een beheerconsole. De boekhouding kent ze wel.
5. Installaties en printers via leveranciers. Vraag elke installateur en leverancier welke toestellen hij in uw gebouw beheert, met merk, type en softwareversie.

De menunamen in de Microsoft-consoles verschillen soms per taal en versie; zoek naar de exportknop bij de lijst zelf. Abonnementen die een afdeling op eigen houtje afsluit, vindt u het makkelijkst via de facturen. Hoe u zulke tools in kaart brengt, beschrijven we in ons artikel over niet-goedgekeurde IT in uw kmo.

Einde ondersteuning: de kolom die het meest oplevert

Een toestel dat geen updates meer krijgt, blijft kwetsbaar voor elk lek dat daarna ontdekt wordt. Microsoft publiceert per product en versie de datum. Windows 10 kreeg op 14 oktober 2025 zijn laatste gratis beveiligingsupdate. Windows 11 versie 23H2 Home en Pro stopten op 11 november 2025, en de Enterprise- en Education-versies van 23H2 stoppen op 10 november 2026, vandaag.

Andere fabrikanten van printers, firewalls, NAS-toestellen en installaties hebben eigen lijsten. Noteer de datum en een link naar de bron in de kolom. CyberFundamentals 2025 is daar streng in: hardware die niet meer ondersteund wordt en geen gedocumenteerde uitzondering heeft, geldt als niet toegelaten. In de praktijk betekent dat: vervangen, of een uitzondering met reden en eigenaar. Hoe u updates organiseert, staat in ons artikel over patchmanagement voor kmo’s, en voor servers in het einde van Windows Server 2016.

Wat vragen CyberFundamentals, ISO 27001 en NIS2?

De versie van CyberFundamentals uit 2023 noemt dezelfde maatregelen ID.AM-1 en ID.AM-2. De Europese uitvoeringsverordening geldt voor een beperkte groep digitale dienstverleners, maar haar vijf minimumvelden zijn een goede ondergrens voor elke kmo. Meer over het Belgische kader leest u in ons artikel over CyberFundamentals, en over het internationale kader in de CIS Controls voor kmo’s.

Is een inventaris niet na een maand al verouderd?

Dat is het eerlijkste bezwaar, en het klopt als bijwerken een losse taak is. Ook dure tools worden volgens beheerders een verzameling verouderde gegevens als niemand ze voedt. De oplossing zit niet in de tool maar in het moment van bijwerken:

• bij elke aanwerving: toestel, accounts en licenties toevoegen;
• bij elk vertrek: toestel terug, accounts afsluiten, licenties vrijmaken;
• bij elke aankoop of afvoer van een toestel;
• bij elk nieuw abonnement of nieuwe leverancier.

Daarnaast herhaalt u de exports bijvoorbeeld elk kwartaal en vult u “laatst nagekeken” in. CyberFundamentals vraagt de inventaris regelmatig te herzien, zeker na wijzigingen. Een lijst die voor het grootste deel klopt, toont meteen welke toestellen geen updates meer krijgen. Zonder lijst weet niemand het.

Hoe groot het probleem van onbekende systemen is, is moeilijk te meten. In een wereldwijde bevraging van Trend Micro uit april 2025 zei 73 procent van ruim 2.000 securityverantwoordelijken dat ze een incident hadden gehad via onbekende of onbeheerde IT-middelen. Dat is een bevraging bij securityverantwoordelijken, geen telling, maar de richting is duidelijk.

Heeft een kmo een CMDB nodig?

Meestal niet om te beginnen. Een CMDB, een configuratiedatabase, brengt naast de items ook de relaties tussen systemen in kaart: welke server nodig is voor welke toepassing. Dat helpt bij grotere IT-omgevingen met veel wijzigingen. Voor een kmo is een actuele lijst met de 13 kolommen hierboven belangrijker dan de tool waarin ze staat. Groeit de lijst boven wat een spreadsheet aankan, dan is dat het moment om tooling te bekijken.

Weet u wat er in uw bedrijf draait?

Bij een cybersecurity audit brengt Cyberplan samen met u in kaart welke toestellen, software, accounts en installaties er zijn, en toetsen we dat aan CyberFundamentals of ISO 27001. Wie een traject voorbereidt, kan starten met een gap-analyse. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Plan een kennismakingsgesprek.

Veelgestelde vragen

Wat is IT-asset management?

IT-asset management is bijhouden welke toestellen, software, clouddiensten en accounts een bedrijf gebruikt, wie er verantwoordelijk voor is en hoe lang ze nog ondersteund worden. Voor een kmo komt het neer op één actuele lijst. Die lijst is de basis voor updates, licenties, het afsluiten van accounts bij vertrek en een audit.

Wat moet er minimaal in een IT-inventaris staan?

Per item minstens een uniek nummer, een omschrijving, de eigenaar, de locatie of gebruiker, de versie, de leverancier, de datum waarop de ondersteuning stopt en hoe kritiek het is. De Europese uitvoeringsverordening 2024/2690 noemt als minimum een uniek nummer, een omschrijving, de eigenaar, het beschermingsniveau en de locatie.

Horen accounts en clouddiensten in de inventaris?

Ja. CyberFundamentals 2025 vraagt een inventaris van software, diensten en systemen, en clouddiensten horen daarbij. Accounts krijgen best een eigen tabblad, met ook gedeelde accounts, serviceaccounts en beheeraccounts. Die blijven het vaakst bestaan nadat een medewerker vertrokken is, en zijn daardoor een gemakkelijke ingang voor aanvallers.

Hoe vaak werkt u de inventaris bij?

Bij elke gebeurtenis die iets verandert: een aanwerving of vertrek, een aankoop, een nieuw abonnement of een nieuwe leverancier. Daarnaast een vaste controle, bijvoorbeeld elk kwartaal, met nieuwe exports uit de beheerconsoles. CyberFundamentals 2025 vraagt de inventaris regelmatig te herzien, zeker na wijzigingen in de IT-omgeving.

Wat is het verschil tussen een IT-inventaris en een CMDB?

Een IT-inventaris is de lijst van wat een bedrijf heeft, met eigenaar, versie en einde ondersteuning. Een CMDB brengt daarnaast de relaties tussen systemen in kaart, bijvoorbeeld welke server een toepassing nodig heeft. Een CMDB past bij grotere IT-omgevingen; een kmo begint best met een goed bijgehouden inventaris.