En este artículo
Gestionar un parque informático sin inventario es como gestionar una flota sin saber cuántos vehículos hay ni cuándo vencen los seguros. El inventario de activos da a la dirección tres cosas: un presupuesto de renovación defendible, la garantía de que nada olvidado está abriendo la puerta a un ataque y, en las entidades sujetas a la NIS2, la materia prima para una obligación legal concreta ante el CNCS. Solo funciona si se recopila de forma automática y se revisa con método, nunca como una hoja de cálculo hecha una sola vez.
¿Puede responder hoy a esta pregunta?
«¿Cuántos portátiles tenemos y cuántos están ya fuera de garantía?» En la mayoría de las empresas de entre 10 y 200 puestos, la respuesta exige cruzar facturas, correos y varias hojas de Excel. Mientras sea así, la renovación de equipos es reactiva, las licencias se pagan a ojo y la seguridad no se puede demostrar ante nadie.
El primer inventario suele amortizarse solo. Casi siempre aparecen suscripciones sin usuario, máquinas sin cobertura de garantía y accesos de personas que ya no están en la empresa.
¿Qué aporta un inventario a la gestión?
- Menos superficie de ataque Los incidentes empiezan muchas veces en lo que nadie recordaba tener: un servidor antiguo todavía encendido, el router de una delegación con la contraseña de fábrica, un portátil que un exempleado nunca devolvió.
- Inversión previsible Conociendo la antigüedad de cada máquina, la sustitución se planifica por lotes y se negocia, en lugar de producirse con la avería y al precio del momento. Detallamos el ciclo recomendado en el ciclo de vida adecuado para portátiles y sobremesas.
- Cumplimiento normativo En las entidades NIS2, sin inventario no hay forma de entregar al CNCS la lista que exige el reglamento.
¿Qué información debe figurar en el inventario?
Recomendamos organizar el registro en cinco niveles, cada uno respondiendo a una pregunta de la dirección:
| Nivel | Campos mínimos | Decisión que respalda |
|---|---|---|
| Hardware | Puestos, servidores, firewalls, switches, puntos de acceso, impresoras, smartphones; fabricante, modelo, n.º de serie, fecha de adquisición, fin de garantía, usuario y ubicación | Cuándo y cuánto renovar |
| Software y suscripciones | Sistema operativo y versión, aplicaciones, Microsoft 365, protección de endpoints, ERP; licencias contratadas frente a las realmente usadas | Dónde recortar costes y qué software ha dejado de tener soporte |
| Identidades | Usuarios, cuentas de administración, cuentas genéricas, accesos de terceros, estado de la MFA | Quién tiene acceso a qué y qué accesos deberían estar ya cerrados |
| Contratos | Internet, telefonía, nube, dominios, certificados, mantenimiento; fechas de renovación y preaviso | Qué se renueva sin decisión y hasta cuándo se puede salir |
| Información | Dónde reside (servidor, nube, portátiles), quién responde de ella y qué copia de seguridad tiene | Si desapareciera mañana, ¿sería recuperable? |
Dos términos para alinear la conversación. Activo es cualquier elemento con valor para la empresa que puede averiarse o ser atacado: hardware, licencia, cuenta, servicio en la nube. Expuesto a internet es todo aquello a lo que un tercero puede intentar conectarse desde fuera: la web, el correo, la VPN, el firewall, una cámara IP mal configurada.
¿Qué exige el CNCS a las entidades sujetas a la NIS2?
Portugal transpuso la Directiva NIS2 mediante el Decreto-Lei n.º 125/2025, de 4 de diciembre, que creó el Régimen Jurídico de la Ciberseguridad, en vigor desde el 120.º día tras su publicación. La normativa de desarrollo llegó en junio de 2026, con el Reglamento n.º 756/2026 del CNCS.
Según su artículo 32, las entidades esenciales, las importantes y las públicas relevantes deben elaborar, actualizar y presentar al CNCS, a través de la plataforma electrónica, la relación completa de los activos directamente accesibles desde internet, y esa relación debe partir del inventario de activos de la entidad. El documento tiene clasificación de reservado y describe, entre otros campos, el servicio que soporta cada activo, la denominación del equipo o software, modelo y versión, sistema operativo, dirección IP, dominios, fabricante e interdependencias.
| Obligación | Calendario |
|---|---|
| Primera presentación | Lo que ocurra antes: el 31 de enero del año siguiente a la notificación de la calificación, o seis meses contados desde esa notificación |
| Actualización por las entidades esenciales | Una vez al año, junto con el informe anual |
| Actualización por las entidades importantes y públicas relevantes | Una vez al año, hasta el último día hábil del mes de enero siguiente |
La secuencia es inevitable: para saber qué está expuesto, primero hay que conocer todo lo que existe. Si su organización está o puede llegar a estar en el ámbito de la ley, empiece por nuestra guía de la NIS2 para pymes. DataRoad no emite dictámenes jurídicos sobre el encuadramiento; ejecuta las medidas técnicas, incluido el inventario.
¿Cómo se mantiene el inventario al día sin esfuerzo manual?
- Agentes de recogida — software instalado en puestos y servidores que comunica por sí solo hardware, aplicaciones y versiones.
- Descubrimiento por la red — el firewall y los switches revelan todos los equipos conectados, incluidos los que no deberían estar ahí.
- Integración con altas y bajas — cada alta desencadena equipos y cuentas; cada baja desencadena la devolución y el bloqueo de accesos, el mismo día.
- Revisión trimestral con la dirección — un cuarto de hora para garantías que vencen, licencias sobrantes y cuentas por cerrar.
- Responsable identificado — una persona concreta responde del inventario; una responsabilidad compartida es responsabilidad de nadie.
¿Dónde están los fallos habituales?
En las cuentas de antiguos empleados y de proveedores, en las licencias pagadas sin usuario, en los equipos de red de delegaciones y almacenes, en los dominios y certificados que se renuevan solos y en la información que solo vive en el disco de un portátil.
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
¿Por qué aseguradoras y auditores van a pedir este documento?
Una póliza de ciberriesgo empieza con un cuestionario sobre equipos, protección instalada y copias de seguridad. Los clientes que auditan a sus proveedores, los tribunales de los concursos públicos y las due diligence en operaciones de compra hacen preguntas idénticas. Con el inventario al día, la respuesta es una exportación de minutos en lugar de semanas de recopilación, sin el riesgo de declarar algo optimista que, tras un incidente, se vuelva contra la empresa.
Si quiere hacer ya un primer inventario interno, utilice nuestra guía de auditoría del parque informático.
¿Cómo es gestionar un parque mixto en la práctica?
Reltio by SAP —tecnológica estadounidense de software de datos, con oficina en Lisboa— tiene con DataRoad un contrato IT Unlimited que cubre mantenimiento permanente, consultoría técnica y gestión de red. En el caso publicado, el parque suma 40 MacBook Pro, 35 equipos Dell, 125 puntos de red estructurada e infraestructura Cisco Meraki con un firewall, tres switches y varios puntos de acceso.
Dos sistemas operativos, varias líneas de hardware y plazos de garantía distintos no se gestionan de memoria. Como Apple Technical Partner, DataRoad - IT Services and Consulting mantiene Mac y PC en un único inventario, bajo el mismo proceso.
Preguntas frecuentes
¿La NIS2 hace obligatorio el inventario?
En la práctica, sí, para las entidades sujetas: el Reglamento n.º 756/2026 del CNCS exige la lista de activos expuestos a internet elaborada a partir del inventario, y esa lista no se puede hacer sin él.
¿Puedo usar una hoja de cálculo?
Solo como punto de partida. Mantenida a mano, queda desfasada en pocas semanas; el modelo sostenible es la recogida automática desde los puestos y la red, con revisión periódica.
¿Con qué periodicidad debe revisarse?
La recogida es continua y la revisión con la dirección debe ser, como mínimo, trimestral. En las entidades NIS2, la lista de activos expuestos debe actualizarse una vez al año.
Siguiente paso: inventario del parque informático en 10 días laborables
Inventariamos hardware, software y suscripciones, identidades, contratos e información; señalamos lo que está expuesto a internet, sin garantía o pendiente de cerrar; y entregamos el inventario con un plan de acción por prioridades. Para mantenerlo al día después, vea cómo funciona la gestión del parque en el plan IT Unlimited Premium y nuestra oferta de implantación técnica de la NIS2. Propuesta sin compromiso.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.
Llame al +351 211 459 950* o escriba a sales@dataroad.pt.
*Llamada a la red fija nacional portuguesa.
