- Regel: artikel 18 i ACN-afgørelse nr. 127437 af 13. april 2026 (gældende fra 15. april 2026), der erstatter afgørelse 379887 af 19. december 2025.
- Hvem: alle NIS-enheder i Italien, væsentlige og vigtige, i den årlige opdatering af oplysninger.
- Hvornår: hvert år fra 15. april til 31. maj; næste vindue er i 2027.
- Hvad: virksomhedsnavn, skattekode, land for hjemsted, CPV-koder for de modtagne leverancer, relevanskriterium.
Hvorfor ACN beder om en leverandørliste
Artikel 3, stk. 9, litra f, i lovdekret 138/2024 (D.Lgs. 138/2024, det italienske NIS2-dekret) tillader, at dekretet anvendes uanset størrelse på en enhed, der anses for kritisk "som et systemisk element i forsyningskæden, herunder den digitale forsyningskæde", for en eller flere væsentlige eller vigtige enheder. For at identificere disse enheder har agenturet brug for at vide, hvem NIS-operatørerne er afhængige af: deraf pligten til at opføre relevante NIS-leverandører, der blev indført med afgørelsen om den digitale platform.
Listen indsendes i NIS Service/Annual information update på ACN-portalen sammen med de øvrige oplysninger efter artikel 16 (ledelsesorganer, IP-adresserum og domænenavne, CSIRT-kontakt, ordninger for informationsdeling). Kontaktpunktet bekræfter oplysningerne med en erklæring afgivet efter præsidentdekret (D.P.R.) 445/2000.
Hvem der tæller som relevant leverandør
Artikel 1, stk. 1, litra ll, i afgørelse 127437/2026 definerer en relevant NIS-leverandør som en enhed, der leverer tjenester eller produkter til en NIS-enhed og opfylder mindst et af to kriterier:
Kriterierne kan gælde hver for sig eller sammen, så en leverance kan være IKT, ikke-erstattelig eller ikke-erstattelig IKT (ACN's FAQ FRN.2). Ifølge ACN dækker det alle enhedens digitale afhængigheder og også ikke-digitale, der ikke kan erstattes uden betydelig indvirkning: eksemplet, agenturet giver, er elektricitet.
De data, der skal indberettes for hver leverandør
| Felt (art. 18) | Hvad du skal angive |
|---|---|
| a) Virksomhedsnavn | Det registrerede navn på den leverandør, der leverer leverancen (se nedenfor om forhandlere og underleverandører). |
| b) Skattekode | Leverandørens italienske skattekode (codice fiscale) (for udenlandske leverandører, se noten under tabellen). |
| c) Land for hjemsted | Det land, hvor leverandøren har sit hjemsted, også uden for EU. |
| d) CPV-koder | Koderne i det fælles glossar for offentlige kontrakter (forordning (EF) 2195/2002, ændret ved forordning (EF) 213/2008) for de leverancer, du bruger. Én række pr. kode. |
| e) Relevanskriterium | IKT, ikke-erstattelig eller begge dele. |
For udenlandske leverandører uden italiensk skattekode skal du tjekke i portalen, hvordan feltet skal udfyldes: ACN's FAQ afklarer det ikke.
Sådan finder du den rigtige CPV-kode
CPV er en trækodning: otte cifre plus et kontrolciffer efter bindestregen (for eksempel 72400000-4). De to første cifre angiver afdelingen, det tredje gruppen, det fjerde klassen og det femte kategorien; yderligere cifre præciserer endnu mere. Nogle praktiske regler:
- Start fra kontraktens genstand, ikke fra leverandørens sektor: én virksomhed kan give dig forbindelse (
72411000-4) og systemsupport (72250000-2), og det kræver to rækker. - Vælg det mest specifikke niveau, der virkelig beskriver leverancen, uden at tvinge det: passer ingen detaljeret kode, er koden på et højere niveau acceptabel.
- Kopiér altid kontrolcifret: det er en del af den officielle kode.
- Brug ACN's koblinger til nyere tjenester. Glossaret fra 2008 indeholder ikke ord som "cloud" eller "CDN": FAQ FRN.4 angiver, hvilke koder der skal bruges (tabel nedenfor).
- Forveksl ikke CPV og ATECO. Tabel D.1 i bilag II.2-bis til den italienske lov om offentlige kontrakter (D.Lgs. 36/2023) giver en overordnet kobling mellem CPV og NACE/ATECO, der kun er nyttig til orientering: det endelige valg skal træffes ud fra det fulde glossar.
| Leverance | Reference-CPV-koder |
|---|---|
| Data- og taleforbindelse uden redundans (ikke-erstattelig IKT) | 72400000-4 Internettjenester; 72411000-4 Internetudbydere (ISP); 72318000-7 Datatransmissionstjenester |
| Elektricitet (ikke-erstattelig) | 65300000-6 Eldistribution og hermed forbundne tjenesteydelser; 65310000-9 Eldistribution |
| Cloudcomputing | 72300000-8 Datatjenester; 72400000-4 Internettjenester; 72500000-0 Computerrelaterede tjenesteydelser; 72510000-3 Computerrelaterede administrationstjenester |
| Datacenter | 72000000-5 IT-tjenester: rådgivning, programmeludvikling, internet og support |
| DNS | 72417000-6 Internetdomænenavne |
| CDN | 72400000-4 Internettjenester |
| Internetudvekslingspunkter | 64221000-1 Samtrafiktjenester |
| Tillidstjenester | 79132100-9 Certificering af elektronisk signatur; 48000000-8 Programpakker og informationssystemer |
| Elektroniske kommunikationsnet og -tjenester | 64200000-8 Telekommunikationstjenester; 64210000-1 Telefon- og datatransmissionstjenester |
| Administrerede tjenester og administrerede sikkerhedstjenester | 72500000-0; 72510000-3; 72250000-2 System- og supporttjenester; 72600000-6 Computersupport og -rådgivning; 72800000-8 Computerrevision og -afprøvning |
De mest almindelige fejl
- At opføre forhandleren i stedet for den, der leverer tjenesten. Er leverancen aftalt med A, men leveret af B, indberetter du B; A er kun relevant, hvis A bidrager til leveringen og ikke blot letter købet (FAQ FRN.8). ACN's eksempel: en SaaS fra B med applikationsdrift ved A, begge er relevante; SaaS-licenser fra B købt gennem A uden anden interaktion, A synes ikke relevant.
- At glemme åbenlyse underleverandører. Bruger A B som underleverandør, indberetter du generelt A, men også B, når B's bidrag til leverancen er tydeligt (FAQ FRN.7).
- At udelade udenlandske leverandører eller leverandører i koncernen. Leverandører uden for EU, leverandører til udenlandske filialer og leverandører fra samme koncern skal også opføres (FAQ FRN.5, FRN.6, FRN.9).
- At sætte flere CPV-koder i én celle. Én række pr. kode, og gentag leverandøren (FAQ FRN.10).
- At stoppe ved IT. Kriteriet om ikke-erstattelighed dækker også energi, forbindelse uden redundans og andre fysiske leverancer uden alternativ.
- Kun at bruge afdelingen. En kode som
72000000-5er ifølge ACN korrekt for datacentre, men for en e-mailtjeneste findes72412000-1: jo mere præcis koden er, desto mere nyttig er oplysningen. - Ikke at opdatere listen. Efter den årlige opdatering indberettes ændringer af de indsendte oplysninger via den løbende opdatering (art. 19), som afgørelsen kræver sker rettidigt og under alle omstændigheder inden for 14 dage efter ændringen (art. 1, litra hh).
Sammenhæng med de grundlæggende foranstaltninger
ACN-listen erstatter ikke den leverandørfortegnelse, som de grundlæggende sikkerhedsforanstaltninger kræver: foranstaltning GV.SC-04 kræver en opdateret fortegnelse over leverandører af leverancer med mulig sikkerhedsindvirkning, med en kontaktperson og type leverance; GV.SC-05 og GV.SC-07 kræver sikkerhedskrav i kontrakter, en risikovurdering af leverancen og periodiske tjek af overholdelse. Det giver mening at føre ét register, som du udleder både ACN-listen og dokumentationen for de grundlæggende foranstaltninger fra. Detaljer i vores tjekliste over ACN's grundlæggende foranstaltninger.
Kilder
- ACN, afgørelse 127437/2026 (art. 1, 16, 18, 19 og 24), underskrevet den 13. april 2026 (på italiensk).
- ACN, Aggiornamento delle informazioni og FAQ om relevante leverandører (FRN.1-FRN.10) (på italiensk).
- Lovdekret 138/2024, artikel 3, stk. 9, litra f, og bilag I, punkt 8 og 9.
- CPV-glossaret: forordning (EF) nr. 213/2008 om ændring af forordning (EF) nr. 2195/2002.
Indhold kontrolleret pr. 1. oktober 2026.