Inventário informático: saber o que a empresa realmente tem (e porque a NIS2 o exige)

7 min de leitura · DataRoad

Inventário informático é saber, com rigor, o que a empresa realmente tem: cada computador, servidor, equipamento de rede, licença, conta, contrato e local onde estão os dados. Parece óbvio. Na prática, poucas empresas de 10 a 200 postos conseguem responder hoje, sem abrir cinco ficheiros diferentes, a uma pergunta simples como “quantos portáteis temos e quais estão fora de garantia?”. E sem essa resposta não há orçamento credível, renovação planeada nem segurança que se possa provar.

Porque é que o inventário deixou de ser um “nice to have”

Há três razões, todas de gestão:

• Não se protege o que não se sabe que existe. O servidor antigo ainda ligado num canto, o router de uma loja com a palavra-passe de fábrica, o portátil de um ex-colaborador que nunca foi devolvido — são estes os pontos por onde os incidentes começam.
• Não se orçamenta o que não se conta. Sem saber a idade de cada equipamento, a renovação é feita quando avaria, ao preço que houver. Explicámos o ciclo certo em quando trocar os computadores.
• Passou a ser exigido. Para as entidades abrangidas pela NIS2, o inventário é a base de uma das obrigações concretas do regulamento do Centro Nacional de Cibersegurança.

O que a NIS2 exige, em concreto

A Diretiva NIS2 foi transposta em Portugal pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprovou o Regime Jurídico da Cibersegurança e entrou em vigor 120 dias após a publicação. Em junho de 2026, o CNCS publicou o regulamento de execução (Regulamento n.º 756/2026).

O artigo 32.º desse regulamento obriga as entidades essenciais, importantes e públicas relevantes a preparar, manter atualizada e enviar ao CNCS, pela plataforma eletrónica, uma lista de todos os ativos diretamente acessíveis a partir da internet, elaborada com base no seu inventário de ativos. A lista é classificada como reservada e inclui, entre outros, o serviço suportado, o nome do equipamento ou software, o modelo e a versão, o sistema operativo, o endereço IP, os nomes de domínio, o fabricante e as dependências entre ativos.

Os prazos:

Repare no detalhe: para fazer a lista do que está exposto à internet, é preciso primeiro ter o inventário de tudo. Se a sua empresa está ou pode estar abrangida, comece pelo guia NIS2 explicada para PME. A DataRoad não presta consultoria jurídica sobre o enquadramento; implementa as medidas técnicas, incluindo o inventário.

O que inventariar: as cinco camadas

Como manter o inventário vivo

O erro mais comum é tratar o inventário como um projeto com fim. Uma folha de cálculo feita em março está errada em maio. O que funciona:

1. Recolha automática. Um agente instalado em cada computador e servidor reporta hardware, software e versões sem ninguém escrever nada.
2. Integração com a rede. A firewall e os equipamentos de rede mostram o que está ligado — incluindo o que não devia estar.
3. Entradas e saídas ligadas aos Recursos Humanos. Um colaborador novo gera equipamento e contas; um colaborador que sai gera devolução e fecho de acessos, no mesmo dia.
4. Revisão trimestral. Quinze minutos com a direção: o que está fora de garantia, que licenças sobram, que contas ficaram por fechar.
5. Um responsável. Alguém responde pelo inventário. Se é toda a gente, não é ninguém.

Seguros e auditorias: o inventário como prova

Se a empresa tem ou pondera um seguro de ciber-risco, conte com perguntas sobre o que tem, que proteção está instalada e que backups existem. O mesmo acontece em auditorias de clientes, concursos públicos e processos de compra da empresa. Um inventário atualizado transforma semanas de recolha em minutos de exportação — e evita respostas otimistas que, depois de um incidente, podem custar caro.

Para um primeiro levantamento, use a nossa checklist de auditoria ao parque informático.

Um caso real: Apple, Dell e Cisco no mesmo escritório

A Reltio, empresa norte-americana de software de dados com escritório em Lisboa, tem com a DataRoad um contrato IT Unlimited de manutenção informática permanente, consultoria técnica e gestão da rede. O parque publicado no caso mostra porque é que o inventário importa num escritório misto: 125 pontos de rede estruturada, equipamento Cisco Meraki (uma firewall, três switches e vários pontos de acesso Wi-Fi), 35 equipamentos Dell e 40 MacBook Pro.

Num parque com dois sistemas operativos, várias famílias de equipamento e garantias diferentes, ninguém consegue gerir de memória. Como Apple Technical Partner, gerimos Mac e Windows no mesmo inventário, com o mesmo rigor.

Perguntas frequentes

A NIS2 obriga a ter um inventário informático?

Para as entidades abrangidas, o Regulamento n.º 756/2026 do CNCS exige uma lista dos ativos acessíveis a partir da internet, elaborada com base no inventário de ativos. Na prática, sem inventário não é possível cumprir essa obrigação.

Uma folha de cálculo chega?

Para começar, sim. Para manter, não: fica desatualizada em semanas. O ideal é recolha automática a partir dos computadores e da rede, com revisão regular.

O que fica normalmente esquecido?

Contas de ex-colaboradores e de fornecedores, licenças pagas e não usadas, equipamentos de rede nas lojas ou armazéns, domínios e certificados com renovação automática, e dados guardados só em portáteis.

De quanto em quanto tempo deve ser revisto?

A recolha deve ser contínua. A revisão com a direção, pelo menos trimestral. Para entidades abrangidas pela NIS2, a lista de ativos acessíveis a partir da internet tem atualização anual obrigatória.

Inventário informático completo em 10 dias úteis

Levantamos equipamentos, software e licenças, contas, contratos e dados, identificamos o que está exposto à internet, fora de garantia ou por fechar, e entregamos o inventário com prioridades de ação. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. Para o manter vivo depois do levantamento, conheça o IT Unlimited Premium e a nossa área de NIS2.

Fontes

• Diário da República — Regulamento n.º 756/2026, do CNCS (artigo 32.º, lista de ativos publicamente acessíveis)
• EUR-Lex — Decreto-Lei n.º 125/2025, de 4 de dezembro (Regime Jurídico da Cibersegurança)