Inventaire informatique : savoir ce que l’entreprise possède réellement (et pourquoi NIS2 l’exige)

7 min de lecture · DataRoad

Inventaire informatique C’est savoir avec précision ce que l’entreprise possède réellement : chaque ordinateur, serveur, équipement réseau, licence, compte, contrat et emplacement où se trouvent les données. Cela semble évident. En pratique, peu d’entreprises de 10 à 200 employés parviennent aujourd’hui à répondre, sans ouvrir cinq fichiers différents, à une question simple comme “ combien de portables avons-nous et lesquels sont hors garantie ? ” Et sans cette réponse, il n’y a ni budget crédible, ni renouvellement prévu ni sécurité prouvable.

Pourquoi l’inventaire n’est plus un “ must have ”

Il y a trois raisons, toutes liées à la gestion :

• On ne protège pas ce qui n’est pas connu d’exister. Le serveur ancien toujours branché dans un coin, le routeur d'une boutique avec le mot de passe d'usine, le portable d'un ancien collaborateur qui n'a jamais été retourné — voilà les points à partir desquels les incidents commencent.
• On ne finance pas ce qui n’est pas compté. Sans connaître l'âge de chaque appareil, la mise à jour est effectuée lors de sa panne, au prix indiqué. Nous avons expliqué le bon cycle ci-dessous. lorsque vous changez les ordinateurs.
• Il est devenu une exigence. Pour les entités couvertes par la NIS2, l’inventaire constitue la base d’une des obligations spécifiques du règlement du Centre national de cybersécurité.

C’est précisément ce que exige NIS2

La Directive NIS2 a été transposée au Portugal par le décret-loi n.º 125/2025 du 4 décembre, qui a approuvé le régime juridique de la cybersécurité et est entré en vigueur 120 jours après sa publication. En juin 2026, le CNCS a publié le règlement d’exécution (Règlement n.º 756/2026).

L’article 32 de ce règlement oblige les entités essentielles, importantes et publiques à préparer, à maintenir à jour et à envoyer au CNCS, via la plateforme électronique, un une liste de tous les actifs directement accessibles via Internet, Cette liste est classée comme confidentielle et comprend, entre autres, le service supporté, le nom de l'équipement ou du logiciel, le modèle et la version, le système d'exploitation, l'adresse IP, les noms de domaine, le fabricant et les dépendances entre les actifs.

Les délais :

Prenez note du détail : pour dresser la liste des éléments exposés sur Internet, il faut d’abord disposer d’un inventaire de tout. Si votre entreprise est concernée ou peut l’être, commencez par le guide NIS2 expliqué aux PME. DataRoad ne fournit pas de conseils juridiques sur le cadre réglementaire ; elle met en œuvre les mesures techniques, notamment l’inventaire.

Ce qui doit être inventarié : les cinq couches

Comment maintenir le stock en vie

L’erreur la plus courante est de considérer l’inventaire comme un projet à but précis. Une feuille de calcul faite en mars est erronée en mai. Ce qui marche :

1. Recueil automatique. Un agent installé sur chaque ordinateur et serveur rapporte le matériel, le logiciel et les versions sans que personne n'écrive quoi que ce soit.
2. Intégration avec le réseau. Le pare-feu et les équipements réseau montrent ce qui est connecté — y compris ce qui n’aurait pas dû être connecté.
3. Entrées et sorties liées aux Ressources Humaines. Un collaborateur nouveau génère du matériel et des comptes ; un collaborateur qui quitte l’entreprise génère des retours et des fermetures d’accès, le même jour.
4. Règlement trimestriel. Quinze minutes avec la direction : ce qui est hors de garantie, quelles licences restent, quelles factures restent à régler.
5. Un responsable. Quelqu'un est responsable de l'inventaire. Si c'est tout le monde, ce n'est personne.

Assurances et audits : l’inventaire comme preuve

Si l’entreprise possède ou envisage d’obtenir une assurance cyber-risques, n’hésitez pas à poser des questions sur ce qu’elle couvre, quelle protection est installée et quels sauvegardes existent. Le même principe s’applique aux audits de clients, aux appels d’offres et aux processus d’achat de l’entreprise. Un inventaire actualisé transforme des semaines de collecte en minutes d’exportation — et évite des réponses optimistes qui, après un incident, pourraient coûter cher.

Pour un premier relevé, utilisez le nôtre liste de contrôle d'audit du parc informatique.

Un cas réel : Apple, Dell et Cisco au même bureau

A Reltio, DataRoad est une entreprise américaine de logiciels de données avec un bureau à Lisbonne. Elle a conclu avec DataRoad un contrat IT Unlimited de maintenance informatique permanente, de conseil technique et de gestion du réseau. Le tableau public en question montre pourquoi l’inventaire importe dans un bureau mixte : 125 points de réseau structurés, du matériel Cisco Meraki (une pare-feu, trois commutateurs et plusieurs points d’accès Wi-Fi), 35 équipements Dell et 40 MacBook Pro.

Dans un parc avec deux systèmes d’exploitation, plusieurs familles d’équipements et des garanties différentes, personne ne peut gérer de mémoire. Comment Apple Technical Partner, Nous gérons Mac et Windows dans le même inventaire, avec le même strict suivi.

Foire aux questions

La NIS2 oblige à disposer d'un inventaire informatique ?

Pour les entités concernées, le règlement n° 756/2026 du CNCS exige une liste des actifs accessibles sur Internet, élaborée à partir de l’inventaire des actifs. En pratique, sans inventaire, il n’est pas possible de remplir cette obligation.

Une feuille de calcul arrive ?

Pour commencer, oui. Pour maintenir, non : elle devient obsolète en quelques semaines. L’idéal est une collecte automatique à partir des ordinateurs et du réseau, avec une révision régulière.

Qu'est-ce qui est généralement oublié ?

Les comptes des anciens collaborateurs et des fournisseurs, les licences non utilisées et payées, les équipements réseau dans les magasins ou les entrepôts, les domaines et les certificats avec renouvellement automatique, et les données stockées uniquement sur des portables.

De combien de temps en temps doit-il être revu ?

La collecte doit être continue. Le bilan doit être revu avec la direction au moins trimestriellement. Pour les entités couvertes par la NIS2, la liste des actifs accessibles sur Internet doit être mise à jour chaque année.

Inventaire informatique complet en 10 jours ouvrables

Nous avons rassemblé les équipements, le logiciel et les licences, les comptes, les contrats et les données, nous avons identifié ce qui est exposé à Internet, hors garantie ou en cours de fermeture, et nous avons remis l’inventaire avec des priorités d’intervention. Pour les entreprises avec plus de 10 postes · contrat d’assistance · support distant, local et téléphonique. Pour le maintenir en activité après le relevé, découvrez IT Unlimited Premium et notre zone de NIS2.

Sources

• Diário da República — Règlement n° 756/2026 du CNCS (article 32.º, liste des actifs accessibles au public)
• EUR-Lex — Décret-loi n° 125/2025 du 4 décembre (Règlement juridique de la cybersécurité)