Dans cet article
Gérer un parc informatique sans inventaire, c'est comme gérer une flotte de véhicules sans savoir combien il y en a ni quand expirent les assurances. L'inventaire des actifs apporte trois choses à la direction : un budget de renouvellement défendable, l'assurance que rien d'oublié n'ouvre la porte à une attaque et, pour les entités concernées par NIS2, la matière première d'une obligation légale concrète envers le CNCS (le centre national de cybersécurité portugais). Il ne fonctionne que s'il est collecté automatiquement et revu avec méthode — jamais comme un tableur fait une fois pour toutes.
Pouvez-vous répondre aujourd'hui à cette question ?
« Combien de portables avons-nous et combien sont déjà hors garantie ? » Dans la plupart des entreprises de 10 à 200 postes, la réponse exige de croiser factures, e-mails et plusieurs fichiers Excel. Tant que c'est le cas, le renouvellement des équipements est subi, les licences sont payées à l'estime et la sécurité ne peut être démontrée à personne.
Le premier relevé est généralement rentabilisé à lui seul. On y découvre presque toujours des abonnements sans utilisateur, des machines sans couverture de garantie et des accès de personnes qui ne font plus partie de l'entreprise.
Quel gain de gestion apporte un inventaire ?
- Une surface d'attaque réduite Les incidents commencent souvent par ce que personne ne se souvenait d'avoir : un vieux serveur encore allumé, le routeur d'une agence avec le mot de passe d'origine, un portable qu'un ancien collaborateur n'a jamais rendu.
- Un investissement prévisible En connaissant l'âge de chaque machine, le remplacement se planifie par lots et se négocie, au lieu de survenir à la panne et au prix du moment. Nous détaillons le cycle recommandé dans le bon cycle de vie pour les portables et les postes fixes.
- La conformité réglementaire Pour les entités NIS2, sans inventaire, impossible de remettre au CNCS la liste exigée par le règlement.
Quelles informations doit contenir l'inventaire ?
Nous recommandons d'organiser le registre en cinq niveaux, chacun répondant à une question de la direction :
| Niveau | Champs minimaux | Décision qu'il éclaire |
|---|---|---|
| Matériel | Postes, serveurs, pare-feu, switches, points d'accès, imprimantes, smartphones ; constructeur, modèle, n° de série, date d'acquisition, fin de garantie, utilisateur et emplacement | Quand et combien renouveler |
| Logiciels et abonnements | Système d'exploitation et version, applications, Microsoft 365, protection des terminaux, ERP ; licences souscrites par rapport à celles réellement utilisées | Où réduire les coûts et quels logiciels ne sont plus supportés |
| Identités | Utilisateurs, comptes d'administration, comptes génériques, accès de tiers, état de la MFA | Qui a accès à quoi et quels accès auraient déjà dû être fermés |
| Contrats | Internet, téléphonie, cloud, domaines, certificats, maintenance ; dates de renouvellement et préavis | Ce qui se renouvelle sans décision et jusqu'à quand on peut en sortir |
| Information | Où elle réside (serveur, cloud, portables), qui en répond et de quelle sauvegarde elle dispose | Si elle disparaissait demain, serait-elle récupérable ? |
Deux termes pour aligner la discussion. Un actif est tout élément ayant de la valeur pour l'entreprise et susceptible de tomber en panne ou d'être attaqué — matériel, licence, compte, service cloud. Exposé à internet désigne tout ce à quoi un tiers peut tenter de se connecter depuis l'extérieur : le site, la messagerie, le VPN, le pare-feu, une caméra IP mal configurée.
Que demande le CNCS aux entités concernées par NIS2 ?
Le Portugal a transposé la directive NIS2 par le Décret-loi n° 125/2025 du 4 décembre, qui a créé le Régime juridique de la cybersécurité, en vigueur depuis le 120e jour suivant sa publication. Les textes d'application sont arrivés en juin 2026, avec le Règlement n° 756/2026 du CNCS.
Aux termes de son article 32, les entités essentielles, importantes et publiques pertinentes doivent établir, mettre à jour et soumettre au CNCS, via la plateforme électronique, la liste complète des actifs directement accessibles depuis internet — et cette liste doit être tirée de l'inventaire des actifs de l'entité. Le document est classé confidentiel et décrit, entre autres champs, le service que chaque actif supporte, la désignation de l'équipement ou du logiciel, le modèle et la version, le système d'exploitation, l'adresse IP, les domaines, le constructeur et les interdépendances.
| Obligation | Calendrier |
|---|---|
| Première soumission | À la première de ces deux dates : le 31 janvier de l'année suivant la notification de qualification, ou six mois à compter de cette notification |
| Mise à jour par les entités essentielles | Une fois par an, avec le rapport annuel |
| Mise à jour par les entités importantes et publiques pertinentes | Une fois par an, au plus tard le dernier jour ouvré de janvier suivant |
L'enchaînement est inévitable : pour savoir ce qui est exposé, il faut d'abord connaître tout ce qui existe. Si votre organisation relève ou pourrait relever du champ de la loi, commencez par notre guide NIS2 pour les PME. DataRoad ne rend pas d'avis juridique sur l'assujettissement ; elle exécute les mesures techniques, inventaire compris.
Comment tenir l'inventaire à jour sans effort manuel ?
- Agents de collecte — un logiciel installé sur les postes et les serveurs remonte de lui-même le matériel, les applications et les versions.
- Découverte réseau — le pare-feu et les switches révèlent tous les équipements connectés, y compris ceux qui ne devraient pas l'être.
- Intégration aux arrivées et départs — chaque arrivée déclenche équipement et comptes ; chaque départ déclenche restitution et blocage des accès, le jour même.
- Revue trimestrielle avec la direction — un quart d'heure pour les garanties qui expirent, les licences en excès et les comptes à fermer.
- Un propriétaire identifié — une personne précise répond de l'inventaire ; une responsabilité partagée n'est la responsabilité de personne.
Où se trouvent les failles habituelles ?
Dans les comptes d'anciens collaborateurs et de fournisseurs, les licences payées sans utilisateur, les équipements réseau des agences et entrepôts, les domaines et certificats qui se renouvellent tout seuls et l'information qui ne vit que sur le disque d'un portable.
DataRoad IT Unlimited
Parlez à DataRoad. Nous évaluons votre activité et proposons l’offre adaptée.
Pourquoi assureurs et auditeurs vont-ils demander ce document ?
Une police cyber-risque commence par un questionnaire sur les équipements, la protection installée et les sauvegardes. Les clients qui auditent leurs fournisseurs, les jurys de marchés publics et les due diligences lors d'acquisitions posent des questions identiques. Avec un inventaire à jour, la réponse est un export de quelques minutes au lieu de semaines de collecte — sans risque de déclarer quelque chose d'optimiste qui, après un incident, se retournerait contre l'entreprise.
Si vous voulez dès maintenant faire un premier relevé interne, utilisez notre guide d'audit du parc informatique.
À quoi ressemble la gestion d'un parc mixte en pratique ?
Reltio by SAP — éditeur américain de logiciels de données, avec un bureau à Lisbonne — a souscrit auprès de DataRoad un contrat IT Unlimited couvrant la maintenance permanente, le conseil technique et la gestion du réseau. Dans la référence publiée, le parc compte 40 MacBook Pro, 35 équipements Dell, 125 prises de réseau structuré et une infrastructure Cisco Meraki avec un pare-feu, trois switches et plusieurs points d'accès.
Deux systèmes d'exploitation, plusieurs gammes de matériel et des durées de garantie différentes ne se gèrent pas de mémoire. En tant qu'Apple Technical Partner, DataRoad - IT Services and Consulting tient Mac et PC dans un inventaire unique, selon le même processus.
Questions fréquentes
NIS2 rend-elle l'inventaire obligatoire ?
En pratique oui, pour les entités concernées : le Règlement n° 756/2026 du CNCS exige la liste des actifs exposés à internet établie à partir de l'inventaire, et cette liste ne peut se faire sans lui.
Puis-je utiliser un tableur ?
Seulement comme point de départ. Tenu à la main, il devient faux en quelques semaines ; le modèle durable est une collecte automatique depuis les postes et le réseau, avec une revue régulière.
À quelle fréquence faut-il le revoir ?
La collecte est continue et la revue avec la direction doit être au minimum trimestrielle. Pour les entités NIS2, la liste des actifs exposés doit être mise à jour une fois par an.
Prochaine étape : inventaire du parc informatique en 10 jours ouvrés
Nous relevons le matériel, les logiciels et abonnements, les identités, les contrats et l'information ; nous signalons ce qui est exposé à internet, hors garantie ou à fermer ; et nous livrons l'inventaire avec un plan d'action priorisé. Pour le tenir à jour ensuite, découvrez la gestion de parc dans la formule IT Unlimited Premium et notre offre de mise en œuvre technique de NIS2. Proposition sans engagement.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.
Appelez le +351 211 459 950* ou écrivez à sales@dataroad.pt.
*Appel vers un fixe portugais.
