- Předpis: článek 18 rozhodnutí ACN č. 127437 ze dne 13. dubna 2026 (použitelné od 15. dubna 2026), které nahrazuje rozhodnutí 379887 ze dne 19. prosince 2025.
- Kdo: všechny subjekty NIS v Itálii, základní i důležité, v rámci každoroční aktualizace informací.
- Kdy: každý rok od 15. dubna do 31. května; další okno je v roce 2027.
- Co: název společnosti, daňový kód, země sídla, kódy CPV přijatých dodávek, kritérium relevance.
Proč ACN požaduje seznam dodavatelů
Čl. 3 odst. 9 písm. f) legislativního nařízení 138/2024 (D.Lgs. 138/2024, italské nařízení NIS2) umožňuje uplatnit nařízení bez ohledu na velikost na subjekt považovaný za kritický „jako systémový prvek dodavatelského řetězce, včetně digitálního dodavatelského řetězce“ jednoho nebo více základních či důležitých subjektů. Aby agentura tyto subjekty identifikovala, potřebuje vědět, na kom provozovatelé NIS závisejí: odtud povinnost uvádět relevantní dodavatele NIS, zavedená rozhodnutím o digitální platformě.
Seznam se podává v NIS Service/Annual information update na portálu ACN spolu s dalšími údaji podle článku 16 (řídicí orgány, adresní prostor IP a doménová jména, kontakt pro CSIRT, ujednání o sdílení informací). Kontaktní osoba informace potvrzuje prohlášením podle prezidentského dekretu (D.P.R.) 445/2000.
Kdo se považuje za relevantního dodavatele
Čl. 1 odst. 1 písm. ll) rozhodnutí 127437/2026 definuje relevantního dodavatele NIS jako subjekt, který subjektu NIS poskytuje služby nebo produkty a splňuje alespoň jedno ze dvou kritérií:
Kritéria se mohou uplatnit samostatně nebo společně, takže dodávka může být ICT, nezastupitelná nebo nezastupitelná ICT (FAQ ACN FRN.2). Podle ACN to pokrývá všechny digitální závislosti subjektu a také nedigitální, které nelze nahradit bez významného dopadu: příkladem, který agentura uvádí, je elektřina.
Údaje, které se u každého dodavatele hlásí
| Pole (čl. 18) | Co zadat |
|---|---|
| a) Název společnosti | Registrovaný název dodavatele, který dodávku poskytuje (k přeprodejcům a subdodavatelům viz níže). |
| b) Daňový kód | Italský daňový kód dodavatele (codice fiscale) (u zahraničních dodavatelů viz poznámka pod tabulkou). |
| c) Země sídla | Země, kde má dodavatel sídlo, i mimo EU. |
| d) Kódy CPV | Kódy společného slovníku pro veřejné zakázky (nař. (ES) 2195/2002, ve znění nař. (ES) 213/2008) pro dodávky, které využíváte. Jeden řádek na kód. |
| e) Kritérium relevance | ICT, nezastupitelná, nebo obojí. |
U zahraničních dodavatelů bez italského daňového kódu si v portálu ověřte, jak pole vyplnit: FAQ ACN to neobjasňují.
Jak najít správný kód CPV
CPV je stromová klasifikace: osm číslic plus kontrolní číslice za pomlčkou (například 72400000-4). První dvě číslice označují oddíl, třetí skupinu, čtvrtá třídu a pátá kategorii; další číslice ji dále zpřesňují. Několik praktických pravidel:
- Vycházejte z předmětu smlouvy, ne z odvětví dodavatele: jedna firma vám může dodávat konektivitu (
72411000-4) i podporu systémů (72250000-2), a to jsou dva řádky. - Zvolte nejkonkrétnější úroveň, která dodávku skutečně popisuje, bez násilí: pokud žádný podrobný kód neodpovídá, je přijatelný kód vyšší úrovně.
- Vždy opište kontrolní číslici: je součástí oficiálního kódu.
- U novějších služeb použijte mapování ACN. Slovník z roku 2008 neobsahuje slova jako „cloud“ nebo „CDN“: FAQ FRN.4 uvádí, které kódy použít (tabulka níže).
- Nezaměňujte CPV a ATECO. Tabulka D.1 přílohy II.2-bis italského zákoníku veřejných zakázek (D.Lgs. 36/2023) nabízí hrubé mapování CPV-NACE/ATECO, užitečné jen pro orientaci: konečnou volbu je třeba provést podle úplného slovníku.
| Dodávka | Referenční kódy CPV |
|---|---|
| Neredundantní datová a hlasová konektivita (nezastupitelná ICT) | 72400000-4 Internetové služby; 72411000-4 Poskytovatelé internetových služeb (ISP); 72318000-7 Služby přenosu dat |
| Elektřina (nezastupitelná) | 65300000-6 Rozvod elektřiny a související služby; 65310000-9 Rozvod elektřiny |
| Cloud computing | 72300000-8 Datové služby; 72400000-4 Internetové služby; 72500000-0 Služby související s počítači; 72510000-3 Služby správy související s počítači |
| Datové centrum | 72000000-5 Služby v oblasti informačních technologií: poradenství, vývoj programového vybavení, internet a podpora |
| DNS | 72417000-6 Internetové domény |
| CDN | 72400000-4 Internetové služby |
| Internetové výměnné uzly | 64221000-1 Propojovací služby |
| Služby vytvářející důvěru | 79132100-9 Služby certifikace elektronického podpisu; 48000000-8 Balíky programů a informační systémy |
| Sítě a služby elektronických komunikací | 64200000-8 Telekomunikační služby; 64210000-1 Telefonní služby a služby přenosu dat |
| Spravované služby a spravované bezpečnostní služby | 72500000-0; 72510000-3; 72250000-2 Systémové a podpůrné služby; 72600000-6 Počítačová podpora a poradenské služby; 72800000-8 Počítačový audit a testování |
Nejčastější chyby
- Uvedení přeprodejce místo toho, kdo službu poskytuje. Pokud je dodávka sjednána s A, ale poskytuje ji B, hlaste B; A je relevantní jen tehdy, pokud k poskytování přispívá a nejen usnadňuje nákup (FAQ FRN.8). Příklad ACN: SaaS od B se správou aplikace od A, oba jsou relevantní; licence SaaS od B koupené přes A bez další interakce, A se nejeví jako relevantní.
- Zapomenutí na zjevné subdodavatele. Pokud A využívá B jako subdodavatele, hlásíte obecně A, ale i B, pokud je jeho přínos k dodávce zřejmý (FAQ FRN.7).
- Vynechání zahraničních dodavatelů nebo dodavatelů ze skupiny. Uvést se musí i dodavatelé mimo EU, dodavatelé zahraničních poboček a dodavatelé ze stejné skupiny (FAQ FRN.5, FRN.6, FRN.9).
- Více kódů CPV v jedné buňce. Jeden řádek na kód, s opakováním dodavatele (FAQ FRN.10).
- Zastavení se u IT. Kritérium nezastupitelnosti pokrývá i energie, konektivitu bez redundance a další fyzické dodávky bez alternativy.
- Použití jen oddílu. Kód jako
72000000-5je podle ACN pro datová centra správný, ale pro e-mailovou službu existuje72412000-1: čím přesnější kód, tím užitečnější informace. - Neaktualizování seznamu. Po každoroční aktualizaci se změny podaných informací hlásí v rámci průběžné aktualizace (čl. 19), která podle rozhodnutí musí být včasná a v každém případě do 14 dnů od změny (čl. 1 písm. hh)).
Návaznost na základní opatření
Seznam pro ACN nenahrazuje soupis dodavatelů požadovaný základními bezpečnostními opatřeními: opatření GV.SC-04 vyžaduje aktuální soupis dodavatelů dodávek s potenciálním dopadem na bezpečnost, s kontaktní osobou a typem dodávky; GV.SC-05 a GV.SC-07 vyžadují bezpečnostní požadavky ve smlouvách, posouzení rizik dodávek a pravidelné kontroly souladu. Dává smysl vést jeden registr, ze kterého odvodíte seznam pro ACN i důkazy pro základní opatření. Podrobnosti v našem kontrolním seznamu základních opatření ACN.
Zdroje
- ACN, rozhodnutí 127437/2026 (čl. 1, 16, 18, 19 a 24), podepsané 13. dubna 2026 (italsky).
- ACN, Aggiornamento delle informazioni a FAQ k relevantním dodavatelům (FRN.1–FRN.10) (italsky).
- Legislativní nařízení 138/2024, čl. 3 odst. 9 písm. f) a příloha I, body 8 a 9.
- Slovník CPV: nařízení (ES) č. 213/2008, kterým se mění nařízení (ES) č. 2195/2002.
Obsah ověřen ke dni 1. října 2026.