Fornitori rilevanti NIS: cosa chiede la determina ACN 314287/2026

Con la determinazione 314287/2026, firmata il 20 ottobre e applicabile dal 25 ottobre 2026, l’ACN stabilisce che i soggetti NIS devono elencare sulla piattaforma i loro «fornitori rilevanti NIS»: denominazione, codice fiscale, Paese della sede legale, codici CPV delle forniture e criterio di rilevanza. Se vendete servizi IT, cloud o software ad aziende soggette alla NIS2, potreste finire in quell’elenco senza averlo chiesto. Ecco cosa dice il testo e come prepararsi.

Dati verificati sul testo della determinazione ACN 314287/2026 e sulla notizia dell’ACN del 23 ottobre 2026. Articolo aggiornato al 13 novembre 2026. Non è una consulenza legale.

Che cos’è un fornitore rilevante NIS

La determinazione lo definisce così: «un soggetto che assicura la fornitura di servizi o di prodotti a un soggetto NIS» e che soddisfa almeno uno di questi criteri di rilevanza.

1. Fornitura ICT: la fornitura è riconducibile alle attività o ai servizi dell’allegato I, punti 8 e 9, del decreto NIS (D.Lgs. 138/2024).
2. Fornitura non fungibile: l’interruzione o la compromissione della fornitura ha un impatto significativo sulla capacità del soggetto NIS di erogare le attività o i servizi per cui rientra nel decreto, anche per l’indisponibilità di fornitori alternativi.

La ragione dichiarata nel preambolo è individuare «gli elementi sistemici della catena di approvvigionamento, anche digitale» di uno o più soggetti essenziali o importanti.

Cosa devono comunicare i soggetti NIS

L’articolo 18 prevede che, tramite il servizio «NIS/Aggiornamento annuale informazioni», gli utenti elenchino i fornitori rilevanti indicando:

• la denominazione e il codice fiscale;
• il Paese in cui hanno la sede legale;
• i codici CPV (Common Procurement Vocabulary) delle forniture di cui fruisce il soggetto NIS;
• il criterio di rilevanza utilizzato.

Il testo non attribuisce al fornitore un obbligo diretto di registrarsi o comunicare: l’adempimento è del cliente NIS. Il fornitore però può aspettarsi che il cliente gli chieda i dati per compilare l’elenco, e probabilmente anche garanzie sulla sicurezza della fornitura.

Cosa cambia per chi vende IT, cloud e software

Se i vostri clienti sono soggetti NIS, i dati qui sopra sono quelli che vi potranno essere chiesti. Un modo pratico di prepararsi, senza aspettare la richiesta:

1. Preparate una scheda fornitore: ragione sociale, codice fiscale, sede legale, elenco dei servizi forniti e codici CPV che li descrivono.
2. Documentate le misure che già applicate: backup e prove di ripristino, monitoraggio, gestione degli accessi, aggiornamenti, procedura di gestione degli incidenti.
3. Rivedete i contratti con i clienti NIS: livelli di servizio, tempi di avviso in caso di incidente, subfornitori coinvolti.
4. Individuate le forniture non fungibili: se un vostro servizio fermo blocca un’attività del cliente, quel cliente potrebbe indicarlo con il secondo criterio.

Sono suggerimenti operativi, non requisiti imposti dalla determinazione. Per capire se e come la NIS2 riguarda voi o i vostri clienti serve una verifica caso per caso, con un consulente. Dal lato tecnico, il nostro cloud gestito per aziende include backup, monitoraggio e assistenza, e la pagina sulla sicurezza informatica e NIS2 spiega come affrontiamo la sicurezza di reti e sistemi. Per le misure più semplici da cui partire, leggete anche la guida alla sicurezza informatica per le PMI; e se state valutando investimenti in cloud e sicurezza, controllate il Voucher Cloud & Cybersecurity del MIMIT.

Domande frequenti

Il mio cliente è soggetto NIS: devo registrarmi sulla piattaforma ACN?

Dal testo della determinazione l’obbligo di elencare i fornitori rilevanti è del soggetto NIS, che lo fa tramite il servizio «NIS/Aggiornamento annuale informazioni». Il fornitore non è indicato come destinatario di un obbligo di registrazione in quell’articolo.

Da quando si applica la determinazione 314287/2026?

Dal 25 ottobre 2026. La determinazione è firmata digitalmente dal Direttore generale dell’ACN il 20 ottobre 2026 e aggiorna e sostituisce la determinazione n. 127437 del 13 aprile 2026.

Che cosa sono i codici CPV?

Sono i codici del Common Procurement Vocabulary, richiamati dalla determinazione con il regolamento (CE) n. 2195/2002, che classificano le forniture. Il soggetto NIS li indica per le forniture di cui fruisce.

Chi scrive. Team URETECH: sviluppatori e consulenti che progettano e integrano gestionali, software su misura, automazioni e cloud gestito per PMI. Chi siamo e come lavoriamo.