Inventaire des actifs : la base de la gestion du parc et de NIS2

« Combien de portables avons-nous et combien sont déjà hors garantie ? » Dans la plupart des entreprises de 10 à 200 postes, la réponse exige de croiser factures, e-mails et plusieurs fichiers Excel. Tant que c'est le cas, le renouvellement des équipements est subi, les licences sont payées à l'estime et la sécurité ne peut être démontrée à personne.

Le premier relevé est généralement rentabilisé à lui seul. On y découvre presque toujours des abonnements sans utilisateur, des machines sans couverture de garantie et des accès de personnes qui ne font plus partie de l'entreprise.

• Une surface d'attaque réduite Les incidents commencent souvent par ce que personne ne se souvenait d'avoir : un vieux serveur encore allumé, le routeur d'une agence avec le mot de passe d'origine, un portable qu'un ancien collaborateur n'a jamais rendu.
• Un investissement prévisible En connaissant l'âge de chaque machine, le remplacement se planifie par lots et se négocie, au lieu de survenir à la panne et au prix du moment. Nous détaillons le cycle recommandé dans le bon cycle de vie pour les portables et les postes fixes.
• La conformité réglementaire Pour les entités NIS2, sans inventaire, impossible de remettre au CNCS la liste exigée par le règlement.

Nous recommandons d'organiser le registre en cinq niveaux, chacun répondant à une question de la direction :

Deux termes pour aligner la discussion. Un actif est tout élément ayant de la valeur pour l'entreprise et susceptible de tomber en panne ou d'être attaqué, matériel, licence, compte, service cloud. Exposé à internet désigne tout ce à quoi un tiers peut tenter de se connecter depuis l'extérieur : le site, la messagerie, le VPN, le pare-feu, une caméra IP mal configurée.

Le Portugal a transposé la directive NIS2 par le Décret-loi n° 125/2025 du 4 décembre, qui a créé le Régime juridique de la cybersécurité, en vigueur depuis le 120e jour suivant sa publication. Les textes d'application sont arrivés en juin 2026, avec le Règlement n° 756/2026 du CNCS.

Aux termes de son article 32, les entités essentielles, importantes et publiques pertinentes doivent établir, mettre à jour et soumettre au CNCS, via la plateforme électronique, la liste complète des actifs directement accessibles depuis internet, et cette liste doit être tirée de l'inventaire des actifs de l'entité. Le document est classé confidentiel et décrit, entre autres champs, le service que chaque actif supporte, la désignation de l'équipement ou du logiciel, le modèle et la version, le système d'exploitation, l'adresse IP, les domaines, le constructeur et les interdépendances.

L'enchaînement est inévitable : pour savoir ce qui est exposé, il faut d'abord connaître tout ce qui existe. Si votre organisation relève ou pourrait relever du champ de la loi, commencez par notre guide NIS2 pour les PME. DataRoad ne rend pas d'avis juridique sur l'assujettissement ; elle exécute les mesures techniques, inventaire compris.

1. Agents de collecte: un logiciel installé sur les postes et les serveurs remonte de lui-même le matériel, les applications et les versions.
2. Découverte réseau: le pare-feu et les switches révèlent tous les équipements connectés, y compris ceux qui ne devraient pas l'être.
3. Intégration aux arrivées et départs: chaque arrivée déclenche équipement et comptes ; chaque départ déclenche restitution et blocage des accès, le jour même.
4. Revue trimestrielle avec la direction: un quart d'heure pour les garanties qui expirent, les licences en excès et les comptes à fermer.
5. Un propriétaire identifié: une personne précise répond de l'inventaire ; une responsabilité partagée n'est la responsabilité de personne.

Une police cyber-risque commence par un questionnaire sur les équipements, la protection installée et les sauvegardes. Les clients qui auditent leurs fournisseurs, les jurys de marchés publics et les due diligences lors d'acquisitions posent des questions identiques. Avec un inventaire à jour, la réponse est un export de quelques minutes au lieu de semaines de collecte, sans risque de déclarer quelque chose d'optimiste qui, après un incident, se retournerait contre l'entreprise.

Si vous voulez dès maintenant faire un premier relevé interne, utilisez notre guide d'audit du parc informatique.

Reltio by SAP (éditeur américain de logiciels de données, avec un bureau à Lisbonne) a souscrit auprès de DataRoad un contrat IT Unlimited couvrant la maintenance permanente, le conseil technique et la gestion du réseau. Dans la référence publiée, le parc compte 40 MacBook Pro, 35 équipements Dell, 125 prises de réseau structuré et une infrastructure Cisco Meraki avec un pare-feu, trois switches et plusieurs points d'accès.

Deux systèmes d'exploitation, plusieurs gammes de matériel et des durées de garantie différentes ne se gèrent pas de mémoire. En tant qu'Apple Technical Partner, DataRoad - IT Services and Consulting tient Mac et PC dans un inventaire unique, selon le même processus.

Nous relevons le matériel, les logiciels et abonnements, les identités, les contrats et l'information ; nous signalons ce qui est exposé à internet, hors garantie ou à fermer ; et nous livrons l'inventaire avec un plan d'action priorisé. Pour le tenir à jour ensuite, découvrez la gestion de parc dans la formule IT Unlimited Premium et notre offre de mise en œuvre technique de NIS2. Proposition sans engagement.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.

Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.

• Règlement n° 756/2026 du CNCS, art. 32 (Diário da República)
• Décret-loi n° 125/2025, texte via EUR-Lex