- Sens
- le recensement complet de tous les biens à protéger
- Objet
- fonder l’analyse des risques, la protection et les preuves
- Lien avec NIS2
- première étape concrète de la mise en œuvre
- Entretien
- le tenir à jour en continu
- Mise à jour
- juin 2026
- Rédaction
- Compliance Compass
Qu’est-ce qu’un inventaire des actifs ?
Un Inventaire des actifs recense méthodiquement l’ensemble des Actifs : matériel, logiciels, services cloud, données et réseaux. Là où le terme « actifs » dit ce qui mérite protection, l’inventaire est l’outil concret qui recense ces biens, les classe et les maintient à jour. Voyez-le comme une liste vivante et complète de tout le paysage informatique et industriel, qui attribue à chaque actif un responsable, un besoin de protection et ses dépendances.
Pourquoi il est le socle
« On ne protège que ce que l’on connaît. » Sans inventaire à jour, on ne peut juger ni des risques existants ni des protections nécessaires. C’est bien pour cela qu’il est la première étape concrète de toute mise en œuvre de NIS2, avant même l’analyse des risques. Il crée aussi la capacité de preuve que la directive attend des entités essentielles et des entités importantes : il faudra pouvoir démontrer à l’autorité compétente que les mesures prises couvrent réellement tous les biens qui comptent. En France, cette obligation n’est pas encore opposable, la loi de transposition n’étant pas promulguée.
Ce qu’il contient
- Serveurs, postes de travail, équipements réseau et systèmes industriels
- Applications et services cloud, y compris ceux des prestataires
- Données et besoin de protection propre à chacune
- Responsable, emplacement et dépendances pour chaque actif
Inventaire et gestion des risques
L’inventaire est le point de départ : pour chaque actif, les risques sont évalués et traités par des Mesures de sécurité adaptées. Dans un SMSI , il constitue la base de données centrale où puisent l’évaluation des risques, la planification des mesures et les preuves d’audit.
Concrètement : en bâtissant son inventaire, un hôpital découvre que plusieurs dispositifs médicaux sont raccordés au réseau sans que personne ne l’ait prévu ni n’en réponde. C’est leur entrée dans l’inventaire qui les rend visibles, leur donne un responsable et les fait entrer dans l’analyse des risques — au lieu de les laisser comme des portes d’entrée que nul ne regarde.
Pour aller plus loin : BSI IT-Grundschutz (standard allemand)
Questions fréquentes
Que met-on dans un inventaire des actifs ?
Tous les systèmes informatiques et industriels, applications, équipements, services cloud, données et réseaux de l’organisation — chacun avec un responsable nommé, un besoin de protection et un emplacement. Comptent aussi les dépendances entre actifs : quelle application tourne sur quel serveur. C’est à cette condition seulement que naît un recensement complet et vivant de tout le paysage informatique et industriel, assez solide pour servir de base à l’analyse des risques.
Pourquoi l’inventaire compte-t-il pour NIS2 ?
Il fonde toute analyse des risques : c’est donc la première étape concrète vers NIS2, avant même l’évaluation des risques. Sans recensement complet, impossible de déterminer les risques existants, de justifier des mesures de protection ou d’en rendre compte à l’autorité compétente. C’est un travail long, et rien n’oblige à attendre : en France, la loi de transposition n’est pas promulguée, mais l’inventaire garde toute son utilité et l’ANSSI invite les futures entités concernées à s’y mettre dès à présent.
À quelle fréquence l’actualiser ?
En continu, au fil des événements : chaque acquisition, chaque mise hors service, chaque changement notable doit y entrer sans délai. Un inventaire périmé crée des angles morts dans l’analyse des risques et dans la protection, et fragilise tout ce qui repose dessus. Dans un SMSI, l’inventaire à jour est la base de données centrale à laquelle puisent durablement l’évaluation des risques, la planification des mesures et les preuves d’audit.