Inventario de activos para NIS2 e ISO 27001: qué incluir y cómo mantenerlo

No se puede proteger lo que no se sabe que existe. Un portátil que nadie tiene registrado no recibe parches, un servicio en la nube que contrató un departamento por su cuenta no tiene MFA y un servidor antiguo que nadie recuerda sigue encendido con una versión sin soporte. El inventario de activos es el punto de partida de cualquier plan de seguridad y la base de la evaluación de riesgos que piden NIS2 y la ISO 27001.

Qué es un inventario de activos de información

Es un registro de todos los elementos que intervienen en el tratamiento de la información de la empresa, con los datos necesarios para protegerlos. No es solo una lista de ordenadores. Incluye también lo que no se toca, como las aplicaciones, los datos y los servicios contratados.

Cada activo debe tener un responsable, una persona que decide quién lo usa y responde de su seguridad. Sin responsable, el activo queda en tierra de nadie.

Qué piden NIS2 y la ISO 27001 sobre el inventario

La Directiva (UE) 2022/2555 (NIS2) recoge en su artículo 21.2 las medidas de gestión de riesgos de ciberseguridad que deben aplicar las entidades esenciales e importantes, y entre ellas cita la gestión de activos, junto a las políticas de control de acceso y la seguridad de los recursos humanos. También exige análisis de riesgos, y no se pueden analizar los riesgos de activos que no están identificados.

En España, la ley que traspone NIS2 sigue en tramitación: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros en enero de 2025 y, a fecha de noviembre de 2026, no se ha publicado en el BOE. Sigue vigente el Real Decreto-ley 12/2018, de la primera directiva NIS. A quién afecta NIS2 lo explicamos en qué es la directiva NIS2 y a qué empresas obliga.

La ISO/IEC 27001:2022 dedica al inventario el control 5.9 de su Anexo A, y lo relaciona con otros como el 5.10 (uso aceptable), el 5.11 (devolución de activos) y el 5.12 (clasificación de la información). Si estás valorando la certificación, empieza por qué es la ISO 27001 y si la necesita tu empresa.

Qué activos incluir en el inventario

Para una pyme, una clasificación práctica es esta:

El error frecuente es quedarse en la primera fila. Los activos que más problemas dan suelen ser los servicios en la nube contratados sin pasar por informática y las cuentas genéricas que comparte medio equipo.

Qué datos registrar de cada activo

No hace falta un formulario de cuarenta campos. Con estos datos se puede trabajar:

• Identificación: nombre, tipo, número de serie o identificador.
• Responsable: la persona que responde del activo.
• Ubicación: oficina, domicilio del empleado, centro de datos o servicio en la nube.
• Criticidad: qué pasa si falla o se filtra. Basta con alta, media o baja.
• Información que trata, sobre todo si incluye datos personales, porque enlaza con el registro de actividades del RGPD.
• Versión y soporte: sistema operativo o versión del programa y fecha de fin de soporte.
• Protección: si tiene cifrado, copia de seguridad, antivirus o EDR y MFA.

Cómo mantener el inventario al día

Un inventario hecho a mano envejece en semanas. La forma de que siga siendo fiable es alimentarlo desde herramientas que ya ven los activos:

• Intune para los dispositivos. El inventario de dispositivos de Intune recoge los equipos gestionados con su hardware, su sistema y su usuario. Lo contamos en qué es Microsoft Intune.
• Detección de dispositivos de Defender. Microsoft Defender para punto de conexión puede descubrir en la red equipos que no están incorporados, que son justo los que faltan en el inventario.
• Entra ID para identidades y aplicaciones. Lista usuarios, cuentas de administración y aplicaciones conectadas al inicio de sesión de la empresa.
• Monitorización para servidores y red. Un sistema que vigila servidores, copias y equipos de red sabe qué hay y si responde. Lo explicamos en por qué monitorizar los servidores.

A esto se añaden dos hábitos: actualizar el inventario en cada alta, baja o compra, y revisarlo completo al menos una vez al año. Las altas y bajas de personas tienen su propio procedimiento, que detallamos en altas y bajas de empleados sin agujeros.

Del inventario a la evaluación de riesgos

Con el inventario hecho, la evaluación de riesgos deja de ser un ejercicio teórico. Para cada activo crítico te preguntas qué le puede pasar, qué probabilidad tiene y qué impacto tendría, y decides qué medida aplicar. Por ejemplo:

• Un servidor con un sistema operativo sin soporte pasa a la lista de gestión de vulnerabilidades con fecha de sustitución.
• Un portátil sin cifrar que sale de la oficina se incorpora a Intune con cifrado obligatorio.
• Un servicio en la nube sin MFA se conecta al inicio de sesión de la empresa o se le activa la doble verificación.

Qué cubre cada herramienta de Microsoft frente a los controles de la ISO 27001 lo repasamos en ISO 27001 con Microsoft 365.

Qué hacemos en 3L Systems

Montamos el inventario a partir de lo que ya tienes: Intune, Entra ID y la monitorización y alertas de servidores y copias. Así el inventario se actualiza con los propios sistemas y lo puedes presentar a un auditor o a un cliente que te pida evidencias.