Fornitori rilevanti NIS2: come compilare l'elenco per l'ACN

Chi deve comunicarlo, quali fornitori includere, i cinque dati richiesti e come scegliere i codici CPV, secondo la Det. ACN 127437/2026.

In breve

Se hai ricevuto dall'ACN la comunicazione di inserimento nell'elenco dei soggetti NIS, ogni anno devi comunicare anche l'elenco dei tuoi fornitori rilevanti. Lo prevede l'articolo 18 della Determinazione ACN 127437 del 13 aprile 2026. L'elenco fa parte dell'aggiornamento annuale delle informazioni, che si fa sulla piattaforma ACN dal 15 aprile al 31 maggio. Per ogni fornitore servono cinque dati: denominazione, codice fiscale, Paese della sede legale, codici CPV delle forniture e criterio di rilevanza.

La prima finestra si è chiusa il 31 maggio 2026, la prossima si apre il 15 aprile 2027. Conviene prepararsi adesso: è anche l'occasione per mettere ordine nell'inventario dei fornitori che le misure di sicurezza chiedono comunque.

Da dove nasce l'obbligo

L'articolo 7 del D.Lgs. 138/2024 chiede ai soggetti NIS di aggiornare ogni anno le proprie informazioni sulla piattaforma dell'ACN, tra il 15 aprile e il 31 maggio. Il comma 6 affida all'ACN il compito di definire le modalità e le informazioni aggiuntive. Lo ha fatto con la Determinazione 127437/2026, che ha sostituito la precedente determinazione 379887/2025 e ha introdotto l'articolo 18 sui fornitori rilevanti.

Lo scopo è spiegato nella FAQ FRN.1 dell'ACN. Il decreto può applicarsi, a prescindere dalle dimensioni, a chi è un «elemento sistemico» della catena di approvvigionamento di altri soggetti NIS (art. 3, comma 9, lettera f). Con gli elenchi l'ACN raccoglie i dati per individuare questi fornitori, d'intesa con le Autorità di settore.

Chi deve comunicare l'elenco

Tutti i soggetti NIS, essenziali e importanti, tenuti all'aggiornamento annuale (FAQ AGA.4). Il servizio «NIS/Aggiornamento annuale» del Portale dei Servizi ACN è visibile solo agli utenti associati a organizzazioni che hanno ricevuto la comunicazione di inserimento nell'elenco (FAQ AGA.5).

Se invece sei tu il fornitore di un soggetto NIS, non diventi soggetto NIS per questo motivo. Secondo la FAQ AMB.GE.6 non esiste una «propagazione diretta» del decreto lungo la catena di fornitura. Il tuo cliente dovrà però chiederti obblighi contrattuali di sicurezza. Ne parliamo nella guida «Il cliente mi chiede la NIS2».

Quali fornitori sono «rilevanti»

Secondo la definizione dell'articolo 1, comma 1, lettera ll) della determinazione, un fornitore è rilevante se ti fornisce prodotti o servizi e soddisfa almeno uno di due criteri (FAQ FRN.2):

Fornitura ICT: la fornitura rientra nelle attività dell'allegato I, punti 8 e 9, del decreto, cioè infrastrutture digitali e gestione dei servizi ICT tra imprese (cloud, data center, servizi gestiti e di sicurezza gestiti, DNS e simili).
Fornitura non fungibile: se la fornitura si interrompe o viene compromessa, la tua capacità di erogare le attività per cui sei soggetto NIS ne risente in modo significativo, anche perché non hai alternative.

I criteri si possono usare da soli o insieme, quindi una fornitura può essere ICT, non fungibile o ICT non fungibile. La FAQ FRN.4 dà alcuni esempi:

Connettività non ridondata (ICT e non fungibile): servizi Internet 72400000-4, fornitori di servizi Internet 72411000-4, trasmissione di dati 72318000-7.
Energia elettrica (non fungibile): erogazione di energia elettrica 65310000-9.
Cloud computing (ICT): servizi Internet 72400000-4, elaborazione dati 72300000-8, servizi informatici 72500000-0.
Servizi gestiti e di sicurezza gestiti (ICT): servizi informatici 72500000-0, manutenzione e assistenza sistemi 72250000-2, consulenza e assistenza informatica 72600000-6.

L'energia elettrica mostra che l'elenco non riguarda solo l'informatica. Conta ogni dipendenza che non puoi sostituire senza un impatto significativo.

I casi dubbi

Le FAQ ACN chiariscono alcune situazioni frequenti:

Fornitori esteri, anche extra UE: vanno elencati (FRN.5), anche quelli che servono tue sedi all'estero (FRN.6).
Subfornitura: se contratti con A e A si avvale di B, di regola indichi A. B entra nell'elenco solo se il suo contributo alla fornitura è evidente (FRN.7).
Fornitura erogata da un altro: se contratti con A ma il servizio lo eroga B, di regola indichi B e valuti anche A (FRN.8). Esempio: un SaaS di B gestito da A rende rilevanti entrambi. Se A ti vende solo le licenze e poi non interviene più, A non appare rilevante.
Società del tuo gruppo: vanno valutate come ogni altro fornitore (FRN.9).

I cinque dati e i codici CPV

L'articolo 18 della determinazione chiede, per ogni fornitore (FAQ FRN.3):

la denominazione;
il codice fiscale;
il Paese in cui ha la sede legale;
i codici CPV delle forniture di cui usufruisci;
il criterio di rilevanza usato.

I codici CPV sono il vocabolario comune per gli appalti pubblici del Regolamento (CE) 2195/2002, modificato dal Regolamento (CE) 213/2008. Scegli il codice più preciso che descrive la fornitura. L'ACN segnala anche una tabella di corrispondenza tra CPV e codici ATECO nel Codice dei contratti pubblici (Allegato II.2 bis, Tabella D.1), ma solo come orientamento: la scelta finale dei codici spetta a te.

Un dettaglio pratico: se un fornitore ha più codici CPV, nel file devi inserire una riga per ogni codice, ripetendo lo stesso fornitore (FRN.10). Un fornitore con tre CPV occupa quindi tre righe.

Come prepararti per la finestra 2027

Parti dall'inventario dei fornitori. Le misure di base ti chiedono già un inventario dei fornitori e dei servizi che erogano (vedi le misure di base ACN). Non ricominciare da zero.
Filtra con i due criteri. Per ogni fornitore chiediti se la fornitura è ICT e se potresti sostituirlo in tempi compatibili con i tuoi servizi. Scrivi la risposta: ti servirà per giustificare le scelte.
Raccogli i dati anagrafici. Il codice fiscale dei fornitori esteri spesso manca in anagrafica: chiedilo per tempo.
Assegna i CPV e ricontrollali su righe separate.
Nomina un responsabile e tieni l'elenco aggiornato durante l'anno. Le modifiche alle informazioni già comunicate vanno notificate entro 14 giorni (FAQ AGA.1).

L'aggiornamento annuale comprende anche altri dati, come il sostituto del punto di contatto, gli organi di amministrazione, gli indirizzi IP e i domini. Li trovi nella guida alla registrazione sul portale ACN.

Cosa rischi se non lo fai

L'elenco fa parte delle informazioni dell'articolo 7. L'articolo 38, comma 10 sanziona la mancata comunicazione o il mancato aggiornamento di queste informazioni, e anche l'inosservanza delle modalità fissate dall'ACN. Per queste violazioni il comma 11 prevede sanzioni fino allo 0,1% del fatturato mondiale annuo per gli essenziali e fino allo 0,07% per gli importanti, fermi restando i minimi del comma 9. Per il quadro completo leggi le sanzioni NIS2.

Dove può aiutarti Epic Assess

In Epic Assess tieni l'anagrafica dei fornitori con codici CPV e criterio di rilevanza, verifichi la partita IVA sul sistema europeo VIES e invii un questionario di sicurezza ai fornitori critici. Da lì esporti un file conforme al modello ACN: i cinque campi dell'articolo 18, nell'ordine della determinazione, con una riga per codice CPV. Non è un modello ufficiale dell'ACN e il caricamento sul portale lo fai tu.

Fonti

Torna alle risorse