Fornitore rilevante NIS

Un fornitore rilevante NIS è un fornitore di servizi o prodotti a un soggetto NIS2 che soddisfa almeno uno di due criteri: la fornitura è ICT, oppure la sua interruzione avrebbe un impatto significativo perché non è facilmente sostituibile.

I due criteri

La Determinazione ACN 127437/2026 (art. 1, comma 1, lett. ll) li definisce così:

fornitura ICT: rientra nelle attività dell'Allegato I, punti 8 e 9, del decreto (infrastrutture digitali, come cloud e data center, e servizi TIC gestiti);
fornitura non fungibile: la sua interruzione o compromissione colpirebbe in modo significativo la capacità del soggetto di erogare i servizi NIS, anche perché mancano fornitori alternativi.

I criteri valgono da soli o insieme, quindi una fornitura può essere «ICT», «non fungibile» o «ICT non fungibile».

In pratica

Se sei un soggetto NIS2: dal 15 aprile al 31 maggio, nell'aggiornamento annuale sul Portale ACN, elenchi i fornitori rilevanti con denominazione, codice fiscale, Paese della sede legale, codici CPV delle forniture e criterio usato (art. 18). È cosa diversa dall'inventario dei fornitori richiesto dalle misure di base (GV.SC-04), che segue la tua valutazione del rischio.

Se sei il fornitore: essere indicato nell'elenco non ti rende automaticamente soggetto NIS2. Quello che cambia subito sono i contratti e i questionari dei clienti, perché la sicurezza della catena di approvvigionamento è un obbligo loro (art. 24, lett. d). Il decreto consente comunque all'ACN di individuare come soggetti NIS, a prescindere dalla dimensione, gli elementi sistemici della catena di fornitura (art. 3, comma 9, lett. f).

Riferimento normativo

Artt. 1, comma 1, lett. ll), 16 e 18 Det. ACN 127437/2026; artt. 3, comma 9, lett. f), e 24, comma 2, lett. d), D.Lgs. 138/2024.

Termini collegati

Per approfondire

Fonti

Tutto il glossario