Como construir o inventário de ativos da NIS 2
O Artigo 21(2)(i) da NIS 2 nomeia a gestão de ativos e o § 30(2) n.º 9 BSIG transpõe-no para o direito alemão. O ponto 12.4 do CIR fixa o que o inventário contém para os prestadores digitais que abrange. O BSI 200-2 (8.1.1) permite-lhe agrupar objetos semelhantes, pelo que fica com uma lista curta de entradas agrupadas e não com uma linha por equipamento.
A versão curta
A NIS 2 nomeia a gestão de ativos no Artigo 21(2)(i) como uma das dez medidas mínimas de gestão de risco; a Alemanha transpõe-no no § 30(2) n.º 9 BSIG como um conceito para a gestão de sistemas, produtos e processos de TI. Para os prestadores digitais enumerados no seu artigo 1.o, o Regulamento de Execução (UE) 2024/2690 concretiza-o no ponto 12.4: um inventário completo, exato e atualizado que enumera as operações e os serviços e os sistemas e outros ativos que os suportam, com uma granularidade adequada às necessidades da entidade, revisto regularmente. Não nomeia campos.
O número que assusta as pessoas (200 servidores, 600 portáteis, 40 ferramentas SaaS) encolhe assim que se lê a secção 8.1.1 do BSI Standard 200-2. Objetos do mesmo tipo, com tarefas e condições semelhantes e a mesma necessidade de proteção, são agrupados numa só entrada. Os 600 portáteis tornam-se uma linha com um campo de quantidade, não 600 linhas.
O resultado é uma lista curta de entradas agrupadas, e não uma linha por equipamento, que abrange TI, OT, SaaS, equipamento de rede e instalações físicas. Esse registo é a fundação que a avaliação de risco, o registo de fornecedores, a política de acesso e o plano de incidentes referenciam todos. Construa-o uma vez, reveja-o com regularidade, atualize-o quando algo material mudar.
Artigo 21(2)(i) Diretiva NIS 2 (UE) 2022/2555
[As medidas incluem, pelo menos] (i) segurança dos recursos humanos, políticas de controlo de acesso e gestão de ativos.
O Artigo 21(2)(i) nomeia a gestão de ativos como uma das dez medidas mínimas que toda a besonders wichtige e wichtige Einrichtung tem de tomar. A Diretiva não diz como é o registo. Para os prestadores digitais enumerados no artigo 1.o do CIR, esse detalhe está uma camada abaixo, no Regulamento de Execução.
Regulamento de Execução (UE) 2024/2690 da Comissão, ponto 12.4 do Anexo (inventário de ativos)
12.4.1. As entidades pertinentes elaboram e mantêm um inventário exaustivo, exato, atualizado e coerente dos seus ativos. Registam, de forma rastreável, quaisquer alterações às entradas do inventário. 12.4.2. A granularidade do inventário de ativos deve ser adequada às necessidades das entidades pertinentes. Esse inventário inclui o seguinte: (a) A lista de operações e serviços e a respetiva descrição; (b) A lista de sistemas de rede e informação e outros ativos conexos que apoiam as operações e os serviços das entidades pertinentes. 12.4.3. As entidades pertinentes analisam e atualizam regularmente o inventário e os seus ativos e documentam o histórico de alterações.
O CIR 2024/2690 vincula apenas os prestadores digitais enumerados no seu artigo 1.o (DNS, TLD, computação em nuvem, centros de dados, CDN, MSP, MSSP, mercados em linha, motores de pesquisa, redes sociais, serviços de confiança). O ponto 12.4 pede-lhes um inventário completo e atual, com uma granularidade adequada às suas necessidades, que enumere as operações e os serviços e os sistemas que os suportam, revisto regularmente. Não nomeia campos nem intervalo. Para todas as outras entidades, o § 30(2) n.º 9 BSIG pede um conceito para a gestão de sistemas, produtos e processos de TI, sem prescrever uma forma.
§ 30(2) n.º 9 BSIG (Alemanha) + BSI Standard 200-2 secção 8.1.1 (método recomendado)
§ 30 Abs. 2 Nr. 9 BSIG: Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. BSI 200-2, 8.1.1: 'Ähnliche Objekte sollten deshalb sinnvoll zu Gruppen zusammengefasst werden.' Os objetos podem partilhar um grupo se forem do mesmo tipo, tiverem tarefas semelhantes, estiverem sujeitos a condições semelhantes e tiverem a mesma necessidade de proteção.
O § 30(2) n.º 9 BSIG transpõe o Artigo 21(2)(i) para o direito alemão; a exposição de motivos diz que 'Verwaltung von IKT-Systemen, -Produkten und -Prozessen' descreve o que tecnicamente se chama gestão de ativos (BT-Drs. 21/1501, p. 148). O BSI Standard 200-2 (secção 8.1) explica como se faz a Strukturanalyse: objetos do mesmo tipo, com tarefas e condições semelhantes e a mesma necessidade de proteção, são agrupados numa só entrada. Essa é a regra que transforma 600 portáteis numa só linha do registo.
Comece pelos processos, não pela varredura de rede
Escreva os processos de negócio de que a empresa depende (receção de encomendas, faturação, processamento de salários, apoio ao cliente, a linha de produção, o controlo de aquecimento urbano, o despacho de rotas). Para cada um, nomeie as dependências. Este é o ponto de entrada a que o BSI 200-2 chama Strukturanalyse. O mapa de processos fixa quais os ativos que importam e qual a sua necessidade de proteção. Uma varredura de rede iniciada a frio dá-lhe ruído, não um registo.
Liste os ativos de que cada processo depende, agrupados
Percorra cada processo e capte os ativos de que precisa: aplicações, bases de dados, servidores, endpoints, equipamento de rede, serviços de cloud e SaaS, componentes de OT e ICS, instalações físicas. Aplique o BSI 200-2 secção 8.1.1: 45 portáteis de escritório idênticos são uma entrada com um campo de quantidade, não 45 linhas. Três PLCs idênticos na mesma linha são uma entrada. Os serviços SaaS contam mesmo não estando na sua rede. O resultado é uma lista curta de entradas agrupadas e não uma linha por equipamento.
Preencha alguns campos por entrada
Para cada entrada, registe o que precisa para a gerir. A orientação da ENISA sugere, entre outros: um identificador único (um ID de ativo curto como ERP-01), uma descrição (o que é e que processo serve), um proprietário (uma pessoa nomeada, não um departamento), uma classificação (a proteção de que precisa em confidencialidade, integridade e disponibilidade, derivada do processo que serve) e uma localização (centro de dados, região de cloud, instalação física, ou o fornecedor que o aloja). Estes campos vêm de uma lista indicativa, não da lei.
Agrupe ativos idênticos, não enumere cada dispositivo
O BSI Standard 200-2 (8.1.1) diz que objetos semelhantes devem ser agrupados quando são do mesmo tipo, têm tarefas e condições semelhantes e a mesma necessidade de proteção. Use isso. 600 portáteis no mesmo perfil de MDM com o mesmo Schutzbedarf são uma entrada do registo. Três PLCs idênticos de bombas de águas residuais são uma entrada. Um conjunto de estações de trabalho VDI idênticas é uma entrada. O registo deve mostrar que compreende as suas dependências, não listar etiquetas de ativos.
Inventarie as dependências, não apenas as coisas que possui
Um proprietário e uma necessidade de proteção só fazem sentido quando se sabe que processo o ativo serve. O ponto 12.4.2, alínea a), do CIR enumera primeiro as operações e os serviços, e o BSI 200-2 parte dos processos de negócio. Por isso, mapeie os processos primeiro e os ativos em segundo. O mesmo vale para o SaaS: uma ferramenta que não possui mas de que a sua faturação depende pertence ao inventário, alojada pelo fornecedor nomeado.
BSI: análise da estrutura mais agrupamento como método recomendado
A metodologia IT-Grundschutz do BSI (Standard 200-2, secção 8.1) começa pela análise da estrutura e usa o agrupamento (8.1.1) para a manter gerível. É um método recomendado, não um requisito legal.
ENISA Technical Implementation Guidance: gestão de ativos secção 12
A Technical Implementation Guidance da ENISA para o CIR 2024/2690 trata a gestão de ativos na secção 12. Para o ponto 12.4, sugere campos a considerar (uma lista indicativa que inclui um identificador único, proprietário, descrição, localização e classificação). A tabela de mapeamento da ENISA (CC BY 4.0, v1.2, agosto de 2025) liga o ponto 12.4 à ISO/IEC 27001:2022 A.5.9, ao NIST CSF 2.0 ID.AM e à cláusula 7.3 da ETSI EN 319 401.
Outros Estados-Membros: a ISO/IEC 27001:2022 A.5.9 como ponto de partida
O ponto 12.4 do CIR aplica-se diretamente em todos os Estados-Membros, mas apenas aos prestadores digitais enumerados no artigo 1.o do CIR; as leis nacionais transpõem o dever geral de gestão de ativos do Artigo 21(2)(i) nas suas próprias palavras. O mapeamento da ENISA liga o ponto 12.4 à ISO/IEC 27001:2022 A.5.9, pelo que um registo ISO é um bom ponto de partida; a ENISA afirma que o mapeamento não é uma medida de equivalência.
Vamos listar cada dispositivo individualmente para que o registo fique completo.
Não. O BSI 200-2 (8.1.1) recomenda o agrupamento de objetos semelhantes. Um registo com 600 linhas de portáteis é difícil de ler e não acrescenta informação que um registo agrupado curto não carregue já.
O SaaS é invisível porque não está na nossa rede, por isso saltamo-lo.
Errado. O ponto 12.4.2, alínea b), do CIR abrange os sistemas de rede e de informação e outros ativos associados que apoiam as suas operações e serviços, e um serviço SaaS de que a sua faturação depende é um deles. Registe-o como uma entrada, com o fornecedor e a região como localização (por exemplo, Salesforce, eu-west), e mantenha também o fornecedor na sua lista de fornecedores.
Podemos construir o registo a partir da varredura de rede e acrescentar os proprietários mais tarde.
Pode, mas o campo do proprietário ficará vazio e a necessidade de proteção será um palpite. O ponto 12.4.2, alínea a), do CIR parte da lista de operações e serviços, e o BSI 200-2 parte dos processos de negócio na análise da estrutura (8.1.2). Sem esse passo, nenhum processo aponta para uma entrada, e ninguém consegue dizer quem é o seu proprietário nem de que proteção precisa.
Exemplo inventado, não é uma empresa real. Uma empresa de construção de máquinas com 60 trabalhadores mapeia onze processos de negócio (receção de encomendas, projeto, aprovisionamento, linha de produção A, linha de produção B, qualidade, expedição, faturação, processamento de salários, apoio ao cliente, serviço remoto pós-venda). O levantamento de ativos produz doze entradas agrupadas: ERP (uma), CAD e PLM (uma), MES no chão de fábrica (uma), servidores de ficheiros e impressão (uma, três caixas idênticas), a frota de 50 portáteis sob um perfil de MDM (uma), duas famílias agrupadas de controladores CNC (duas), o equipamento central de rede (uma), Microsoft 365 (uma), o SaaS de apoio ao cliente (uma), a appliance de VPN pós-venda (uma) e a instalação física (uma). Doze entradas que cobrem TI e OT, cada uma com um proprietário nomeado, uma necessidade de proteção e uma localização conhecida.
As mesmas doze entradas são a espinha dorsal do registo de risco, do registo de fornecedores, da política de acesso, do plano de BCM e do runbook de resposta a incidentes. Não é preciso um projeto de CMDB para isto: o ponto 12.4 do CIR não nomeia campos, e o BSI 200-2 (8.1.1) permite agrupar.
- Diretiva (UE) 2022/2555 (NIS 2), Artigo 21(2)(i): as medidas mínimas de gestão de risco incluem a segurança dos recursos humanos, as políticas de controlo de acesso e a gestão de ativos.
- Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024, ponto 12.4 do Anexo (inventário de ativos): um inventário completo, exato, atualizado e coerente, com uma granularidade adequada às necessidades da entidade, que enumera as operações e os serviços e os sistemas que os suportam, revisto regularmente. Vincula os tipos de entidade do artigo 1.o do CIR.
- BSIG (Alemanha), §30 (Risikomanagementmaßnahmen) Abs. 2 Nr. 9, que transpõe o Artigo 21(2)(i) da NIS 2; exposição de motivos BT-Drs. 21/1501, p. 148 (gestão de ativos).
- BSI Standard 200-2 (IT-Grundschutz-Methodik), secção 8.1.1 (Komplexitätsreduktion durch Gruppenbildung): objetos semelhantes são agrupados quando são do mesmo tipo, têm tarefas semelhantes, estão sujeitos a condições semelhantes e têm a mesma necessidade de proteção.
- ISO/IEC 27001:2022 Anexo A.5.9 (Inventário de informação e outros ativos associados), ligado ao ponto 12.4 do CIR na tabela de mapeamento da ENISA (v1.2, agosto de 2025); a ENISA afirma que o mapeamento não é uma medida de equivalência.
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Risk Management
Rate your risks
Place every piece of software, every device and every supplier on the matrix.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
