Art.º 4 · Aviso n.º 21418/2021 — Inventário de ativos

1 -Para os efeitos do disposto na presente instrução, entende-se por «Ativo» todo o sistema de informação e comunicação, os equipamentos e os demais recursos físicos e lógicos considerandos essenciais, que suportam, direta ou indiretamente, um ou mais serviços.
2 -Para cada ativo identificado de acordo com o n.º 1 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, a informação a constar do inventário de ativos deve ser baseada nas medidas técnicas "ID.GA - Gestão de Ativos", do Quadro Nacional de Referência de Cibersegurança, elaborado pelo CNCS e publicado no respetivo sítio na Internet, devendo a entidade adotar no mínimo as medidas técnicas "ID.GA-1 - Os dispositivos físicos, redes e sistemas de informação existentes na organização devem ser inventariados" e "ID.GA-2 - As aplicações e plataformas de software que suportam os processos dos serviços críticos devem ser inventariadas", nomeadamente:
ID.GA-1 - A entidade deve efetuar o inventário dos seus equipamentos de acordo com as seguintes regras:
1. a)Os dispositivos físicos e sistemas devem ser inventariados com a seguinte informação:
  1. i)Número de inventário;
  2. ii)Nome e modelo do equipamento;
  3. iii)Número de série;
  4. iv)Localização.
2. b)Os dispositivos ligados à rede devem ter a seguinte informação complementar:
  1. i)Endereço IP;
  2. ii)Endereço de hardware.
3. c)Os responsáveis dos dispositivos e sistemas devem ser identificados com, pelo menos, os seguintes elementos:
  1. i)Nome;
  2. ii)Contacto;
  3. iii)Departamento.
4. d)Os dispositivos físicos e sistemas devem ser classificados de acordo com a sua criticidade para a entidade.
  ID.GA-2 - A entidade deve elaborar o inventário de todas as suas aplicações, identificando:
5. e)Informação necessária ao inventário de uma aplicação, nomeadamente:
  1. i)Nome do software;
  2. ii)Versão;
  3. iii)Fabricante.
6. f)Os responsáveis pelas aplicações com, pelo menos, os seguintes elementos:
  1. i)Nome;
  2. ii)Contacto;
  3. iii)Departamento.
7. g)A classificação em função da criticidade da aplicação para a entidade;
8. h)Quando aplicável, o tipo de contrato de suporte em vigor com o fornecedor da aplicação ou plataforma de software.
3 -Para efeitos do n.º 3 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, as entidades devem comunicar ao CNCS, com base no inventário de ativos a que se refere o n.º 1 do artigo 6.º do referido normativo, para todos os ativos direta ou indiretamente acessíveis publicamente através da Internet, uma lista de ativos com a seguinte informação:
1. i)Serviço suportado;
  1. ii)Nome do equipamento/ Nome do software;
  2. iii)Modelo/ Versão;
  3. iv)Endereço IP;
  4. v)Fabricante.
4 -A lista a que se refere o número anterior deve ser remetida para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo III à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 4.º — Inventário de ativos