Inventário informático é saber, com rigor, o que a empresa realmente tem: cada computador, servidor, equipamento de rede, licença, conta, contrato e local onde estão os dados. Parece óbvio. Na prática, poucas empresas de 10 a 200 postos conseguem responder hoje, sem abrir cinco ficheiros diferentes, a uma pergunta simples como “quantos portáteis temos e quais estão fora de garantia?”. E sem essa resposta não há orçamento credível, renovação planeada nem segurança que se possa provar.
Porque é que o inventário deixou de ser um “nice to have”
Há três razões, todas de gestão:
- Não se protege o que não se sabe que existe. O servidor antigo ainda ligado num canto, o router de uma loja com a palavra-passe de fábrica, o portátil de um ex-colaborador que nunca foi devolvido — são estes os pontos por onde os incidentes começam.
- Não se orçamenta o que não se conta. Sem saber a idade de cada equipamento, a renovação é feita quando avaria, ao preço que houver. Explicámos o ciclo certo em quando trocar os computadores.
- Passou a ser exigido. Para as entidades abrangidas pela NIS2, o inventário é a base de uma das obrigações concretas do regulamento do Centro Nacional de Cibersegurança.
O que a NIS2 exige, em concreto
A Diretiva NIS2 foi transposta em Portugal pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprovou o Regime Jurídico da Cibersegurança e entrou em vigor 120 dias após a publicação. Em junho de 2026, o CNCS publicou o regulamento de execução (Regulamento n.º 756/2026).
O artigo 32.º desse regulamento obriga as entidades essenciais, importantes e públicas relevantes a preparar, manter atualizada e enviar ao CNCS, pela plataforma eletrónica, uma lista de todos os ativos diretamente acessíveis a partir da internet, elaborada com base no seu inventário de ativos. A lista é classificada como reservada e inclui, entre outros, o serviço suportado, o nome do equipamento ou software, o modelo e a versão, o sistema operativo, o endereço IP, os nomes de domínio, o fabricante e as dependências entre ativos.
Os prazos:
| Entrega | Prazo |
|---|---|
| Primeira versão | Até 31 de janeiro do ano seguinte à notificação de qualificação, ou no prazo de seis meses após essa notificação, o que ocorrer primeiro |
| Atualização — entidades essenciais | Anual, com o relatório anual |
| Atualização — entidades importantes e públicas relevantes | Anual, até ao último dia útil de janeiro do ano seguinte |
Repare no detalhe: para fazer a lista do que está exposto à internet, é preciso primeiro ter o inventário de tudo. Se a sua empresa está ou pode estar abrangida, comece pelo guia NIS2 explicada para PME. A DataRoad não presta consultoria jurídica sobre o enquadramento; implementa as medidas técnicas, incluindo o inventário.
Em linguagem simples: “ativo” é tudo o que tem valor para a empresa e pode ser atacado ou falhar — um computador, um servidor, uma licença, uma conta de utilizador, um serviço na cloud. “Acessível a partir da internet” é tudo aquilo a que alguém de fora pode tentar ligar-se: o site, o email, a VPN, a firewall, uma câmara mal configurada.
O que inventariar: as cinco camadas
| Camada | O que registar | Pergunta que responde |
|---|---|---|
| Equipamentos | Computadores, servidores, firewalls, switches, pontos de acesso, impressoras, telemóveis; marca, modelo, número de série, data de compra, garantia, utilizador, local | O que temos, onde está e quando o substituímos? |
| Software e licenças | Sistemas operativos e versões, aplicações, licenças Microsoft 365, antivírus, ERP; quantas pagamos e quantas usamos | Estamos a pagar a mais? Há software sem suporte? |
| Contas e acessos | Utilizadores, administradores, contas partilhadas, acessos de fornecedores, autenticação multifator ativa ou não | Quem entra, com que privilégios, e quem já devia ter saído? |
| Contratos e serviços | Internet, telefones, cloud, domínios, certificados, manutenção; datas de renovação e pré-avisos | O que renova sozinho e quando? |
| Dados | Onde estão (servidor, cloud, portáteis), quem é o responsável, que backup têm | Se perdermos isto amanhã, conseguimos recuperar? |
Como manter o inventário vivo
O erro mais comum é tratar o inventário como um projeto com fim. Uma folha de cálculo feita em março está errada em maio. O que funciona:
- Recolha automática. Um agente instalado em cada computador e servidor reporta hardware, software e versões sem ninguém escrever nada.
- Integração com a rede. A firewall e os equipamentos de rede mostram o que está ligado — incluindo o que não devia estar.
- Entradas e saídas ligadas aos Recursos Humanos. Um colaborador novo gera equipamento e contas; um colaborador que sai gera devolução e fecho de acessos, no mesmo dia.
- Revisão trimestral. Quinze minutos com a direção: o que está fora de garantia, que licenças sobram, que contas ficaram por fechar.
- Um responsável. Alguém responde pelo inventário. Se é toda a gente, não é ninguém.
DataRoad IT Unlimited
Fale com a DataRoad. Avaliamos a sua operação e propomos o plano certo.
Seguros e auditorias: o inventário como prova
Se a empresa tem ou pondera um seguro de ciber-risco, conte com perguntas sobre o que tem, que proteção está instalada e que backups existem. O mesmo acontece em auditorias de clientes, concursos públicos e processos de compra da empresa. Um inventário atualizado transforma semanas de recolha em minutos de exportação — e evita respostas otimistas que, depois de um incidente, podem custar caro.
Para um primeiro levantamento, use a nossa checklist de auditoria ao parque informático.
Um caso real: Apple, Dell e Cisco no mesmo escritório
A Reltio by SAP, empresa norte-americana de software de dados com escritório em Lisboa, tem com a DataRoad um contrato IT Unlimited de manutenção informática permanente, consultoria técnica e gestão da rede. O parque publicado no caso mostra porque é que o inventário importa num escritório misto: 125 pontos de rede estruturada, equipamento Cisco Meraki (uma firewall, três switches e vários pontos de acesso Wi-Fi), 35 equipamentos Dell e 40 MacBook Pro.
Num parque com dois sistemas operativos, várias famílias de equipamento e garantias diferentes, ninguém consegue gerir de memória. Como Apple Technical Partner, gerimos Mac e Windows no mesmo inventário, com o mesmo rigor.
Perguntas frequentes
A NIS2 obriga a ter um inventário informático?
Para as entidades abrangidas, o Regulamento n.º 756/2026 do CNCS exige uma lista dos ativos acessíveis a partir da internet, elaborada com base no inventário de ativos. Na prática, sem inventário não é possível cumprir essa obrigação.
Uma folha de cálculo chega?
Para começar, sim. Para manter, não: fica desatualizada em semanas. O ideal é recolha automática a partir dos computadores e da rede, com revisão regular.
O que fica normalmente esquecido?
Contas de ex-colaboradores e de fornecedores, licenças pagas e não usadas, equipamentos de rede nas lojas ou armazéns, domínios e certificados com renovação automática, e dados guardados só em portáteis.
De quanto em quanto tempo deve ser revisto?
A recolha deve ser contínua. A revisão com a direção, pelo menos trimestral. Para entidades abrangidas pela NIS2, a lista de ativos acessíveis a partir da internet tem atualização anual obrigatória.
Inventário informático completo em 10 dias úteis
Levantamos equipamentos, software e licenças, contas, contratos e dados, identificamos o que está exposto à internet, fora de garantia ou por fechar, e entregamos o inventário com prioridades de ação. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. Para o manter vivo depois do levantamento, conheça o IT Unlimited Premium e a nossa área de NIS2.
