Art.º 4 · Regulamento n.º 183/2022 — Inventário de ativos

1 -Para os efeitos do disposto na presente instrução, entende -se por «Ativo» todo o sistema de informação e comunicação, os equipamentos e os demais recursos físicos e lógicos considerados essenciais, geridos ou detidos pela entidade, que suportam, direta ou indiretamente, um ou mais serviços.
2 -Para cada ativo identificado de acordo com o n.º 1 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021 aplica-se o seguinte:
1. 2.1 -A entidade deve efetuar o inventário dos seus equipamentos de acordo com as seguintes regras:
2. a)Os dispositivos físicos e sistemas devem ser inventariados com a seguinte informação:
  1. i)Número de inventário;
  2. ii)Nome e modelo do equipamento;
  3. iii)Número de série;
  4. iv)Localização.
3. b)Os dispositivos ligados à rede devem ter a seguinte informação complementar:
  1. i)Endereço IP;
  2. ii)Endereço de hardware.
4. c)Os responsáveis dos dispositivos e sistemas devem ser identificados com, pelo menos, os seguintes elementos:
  1. i)Nome;
  2. ii)Contacto;
  3. iii)Departamento.
5. d)Os dispositivos físicos e sistemas devem ser classificados de acordo com a sua criticidade para a entidade.
6. 2.2 -A entidade deve elaborar o inventário de todas as suas aplicações, identificando:
7. a)Informação necessária ao inventário de uma aplicação, nomeadamente:
  1. i)Nome do software;
  2. ii)Versão;
  3. iii)Fabricante.
8. b)Os responsáveis pelas aplicações com, pelo menos, os seguintes elementos:
  1. i)Nome;
  2. ii)Contacto;
  3. iii)Departamento.
9. c)A classificação em função da criticidade da aplicação para a entidade;
10. d)Quando aplicável, o tipo de contrato de suporte em vigor com o fornecedor da aplicação ou plataforma de software.
3 -Para efeitos do n.º 3 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, as entidades devem comunicar ao CNCS, com base no inventário de ativos a que se refere o n.º 1 do artigo 6.º do referido normativo, para todos os ativos diretamente acessíveis publicamente através da Internet, uma lista com a seguinte informação:
1. a)Serviço suportado;
2. b)Nome do equipamento/Nome do software;
3. c)Modelo/Versão;
4. d)Endereço IP, se aplicável;
5. e)Fully Qualified Domain Names (FQDNs), se aplicável;
6. f)Fabricante.
4 -A lista a que se refere o número anterior deve ser remetida para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo III à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 4.º — Inventário de ativos

Histórico de Alterações