- Regel: Artikel 18 des ACN-Beschlusses Nr. 127437 vom 13. April 2026 (anwendbar ab dem 15. April 2026), der den Beschluss 379887 vom 19. Dezember 2025 ersetzt.
- Wer: alle NIS-Einrichtungen in Italien, wesentliche und wichtige, in der jährlichen Aktualisierung der Angaben.
- Wann: jedes Jahr vom 15. April bis 31. Mai; das nächste Zeitfenster liegt im Jahr 2027.
- Was: Firmenname, Steuernummer, Land des Sitzes, CPV-Codes der bezogenen Lieferungen, Relevanzkriterium.
Warum die ACN eine Lieferantenliste verlangt
Artikel 3(9)(f) des Gesetzesvertretenden Dekrets 138/2024 (D.Lgs. 138/2024, das italienische NIS2-Dekret) erlaubt es, das Dekret unabhängig von der Größe auf eine Einrichtung anzuwenden, die als kritisch gilt, weil sie ein „systemisches Element der Lieferkette, einschließlich der digitalen Lieferkette“ einer oder mehrerer wesentlicher oder wichtiger Einrichtungen ist. Um diese Einrichtungen zu erkennen, muss die Behörde wissen, von wem NIS-Betreiber abhängen: daher die Pflicht, relevante NIS-Lieferanten aufzuführen, die mit dem Beschluss zur digitalen Plattform eingeführt wurde.
Die Liste wird im NIS-Dienst/Jährliche Aktualisierung der Angaben im ACN-Portal eingereicht, zusammen mit den übrigen Angaben nach Artikel 16 (Leitungsorgane, IP-Adressraum und Domainnamen, CSIRT-Kontakt, Vereinbarungen zum Informationsaustausch). Die Kontaktperson bestätigt die Angaben mit einer Erklärung nach dem Präsidialdekret (D.P.R.) 445/2000.
Wer als relevanter Lieferant gilt
Artikel 1(1)(ll) des Beschlusses 127437/2026 definiert einen relevanten NIS-Lieferanten als Einrichtung, die einer NIS-Einrichtung Dienste oder Produkte liefert und mindestens eines von zwei Kriterien erfüllt:
Die Kriterien können einzeln oder zusammen zutreffen, sodass eine Lieferung IKT, nicht austauschbar oder nicht austauschbare IKT sein kann (ACN-FAQ FRN.2). Laut ACN umfasst das alle digitalen Abhängigkeiten der Einrichtung und auch nicht digitale, die sich nicht ohne erhebliche Auswirkungen ersetzen lassen: Das Beispiel der Behörde ist Strom.
Die zu meldenden Daten je Lieferant
| Feld (Art. 18) | Was einzutragen ist |
|---|---|
| a) Firmenname | Der eingetragene Name des Lieferanten, der die Lieferung erbringt (zu Wiederverkäufern und Unterauftragnehmern siehe unten). |
| b) Steuernummer | Die italienische Steuernummer des Lieferanten (codice fiscale) (für ausländische Lieferanten siehe den Hinweis unter der Tabelle). |
| c) Land des Sitzes | Das Land, in dem der Lieferant seinen Sitz hat, auch außerhalb der EU. |
| d) CPV-Codes | Die Codes des Gemeinsamen Vokabulars für öffentliche Aufträge (Verordnung (EG) 2195/2002, geändert durch Verordnung (EG) 213/2008) für die von Ihnen genutzten Lieferungen. Eine Zeile pro Code. |
| e) Relevanzkriterium | IKT, nicht austauschbar oder beides. |
Für ausländische Lieferanten ohne italienische Steuernummer prüfen Sie im Portal, wie das Feld auszufüllen ist: Die ACN-FAQs klären das nicht.
So finden Sie den richtigen CPV-Code
CPV ist eine Baumklassifikation: acht Ziffern plus eine Prüfziffer nach dem Bindestrich (zum Beispiel 72400000-4). Die ersten beiden Ziffern bezeichnen die Abteilung, die dritte die Gruppe, die vierte die Klasse und die fünfte die Kategorie; weitere Ziffern verfeinern die Zuordnung. Einige praktische Regeln:
- Gehen Sie vom Gegenstand des Vertrags aus, nicht von der Branche des Lieferanten: Ein einzelnes Unternehmen kann Ihnen Konnektivität (
72411000-4) und Systemsupport (72250000-2) liefern, und das ergibt zwei Zeilen. - Wählen Sie die spezifischste Ebene, die die Leistung wirklich beschreibt, ohne sie zu erzwingen: Passt kein detaillierter Code, ist der Code der übergeordneten Ebene zulässig.
- Übernehmen Sie immer die Prüfziffer: Sie ist Teil des offiziellen Codes.
- Nutzen Sie für neuere Dienste die Zuordnungen der ACN. Das Vokabular von 2008 enthält keine Begriffe wie „Cloud“ oder „CDN“: Die FAQ FRN.4 nennt, welche Codes zu verwenden sind (Tabelle unten).
- Verwechseln Sie CPV und ATECO nicht. Tabelle D.1 von Anhang II.2-bis des italienischen Vergabegesetzbuchs (D.Lgs. 36/2023) enthält eine grobe Zuordnung CPV-NACE/ATECO, die nur zur Orientierung dient: Die endgültige Wahl muss anhand des vollständigen Vokabulars erfolgen.
| Lieferung | Referenz-CPV-Codes |
|---|---|
| Nicht redundante Daten- und Sprachkonnektivität (nicht austauschbare IKT) | 72400000-4 Internetdienste; 72411000-4 Internetdienstanbieter ISP; 72318000-7 Datenübertragungsdienste |
| Strom (nicht austauschbar) | 65300000-6 Stromverteilung und zugehörige Dienstleistungen; 65310000-9 Stromverteilung |
| Cloud Computing | 72300000-8 Datendienste; 72400000-4 Internetdienste; 72500000-0 Computerbezogene Dienstleistungen; 72510000-3 Computerbezogene Verwaltungsdienste |
| Rechenzentrum | 72000000-5 IT-Dienste: Beratung, Softwareentwicklung, Internet und Support |
| DNS | 72417000-6 Internet-Domänennamen |
| CDN | 72400000-4 Internetdienste |
| Internet-Knoten (Internet Exchange Points) | 64221000-1 Zusammenschaltungsdienste |
| Vertrauensdienste | 79132100-9 Zertifizierungsdienste für elektronische Signaturen; 48000000-8 Softwarepaket und Informationssysteme |
| Elektronische Kommunikationsnetze und -dienste | 64200000-8 Telekommunikationsdienste; 64210000-1 Telefon- und Datenübertragungsdienste |
| Managed Services und Managed Security Services | 72500000-0; 72510000-3; 72250000-2 System- und Unterstützungsdienste; 72600000-6 Computerunterstützung und -beratung; 72800000-8 Computer-Audit und -Test |
Die häufigsten Fehler
- Den Wiederverkäufer angeben statt desjenigen, der die Leistung erbringt. Wird die Leistung mit A vereinbart, aber von B erbracht, melden Sie B; A ist nur relevant, wenn er zur Erbringung beiträgt und den Kauf nicht bloß vermittelt (FAQ FRN.8). Beispiel der ACN: Eine SaaS-Lösung von B mit Anwendungsbetrieb durch A, beide sind relevant; SaaS-Lizenzen von B, über A gekauft und ohne weitere Interaktion, A erscheint nicht relevant.
- Offensichtliche Unterauftragnehmer vergessen. Setzt A den B als Unterauftragnehmer ein, melden Sie in der Regel A, aber auch B, wenn sein Beitrag zur Leistung offensichtlich ist (FAQ FRN.7).
- Ausländische oder konzerninterne Lieferanten auslassen. Auch Lieferanten außerhalb der EU, Lieferanten ausländischer Niederlassungen und Lieferanten derselben Unternehmensgruppe müssen aufgeführt werden (FAQ FRN.5, FRN.6, FRN.9).
- Mehrere CPV-Codes in eine Zelle schreiben. Eine Zeile pro Code, mit wiederholtem Lieferanten (FAQ FRN.10).
- Bei der IT aufhören. Das Kriterium der Nicht-Austauschbarkeit umfasst auch Energie, Konnektivität ohne Redundanz und andere physische Lieferungen ohne Alternative.
- Nur die Abteilung verwenden. Ein Code wie
72000000-5ist laut ACN für Rechenzentren korrekt, für einen E-Mail-Dienst gibt es jedoch72412000-1: Je präziser der Code, desto nützlicher die Information. - Die Liste nicht aktualisieren. Nach der jährlichen Aktualisierung werden Änderungen an den übermittelten Angaben über die laufende Aktualisierung (Art. 19) gemeldet, die laut Beschluss zeitnah und in jedem Fall innerhalb von 14 Tagen nach der Änderung erfolgen muss (Art. 1(hh)).
Zusammenhang mit den Basismaßnahmen
Die ACN-Liste ersetzt nicht das Lieferantenverzeichnis, das die grundlegenden Sicherheitsmaßnahmen verlangen: Die Maßnahme GV.SC-04 fordert ein aktuelles Verzeichnis der Lieferanten von Leistungen mit potenziellem Sicherheitseinfluss, mit Ansprechperson und Art der Leistung; GV.SC-05 und GV.SC-07 fordern Sicherheitsanforderungen in Verträgen, eine Risikobewertung der Lieferung und regelmäßige Konformitätsprüfungen. Es ist sinnvoll, ein einziges Register zu führen, aus dem Sie sowohl die ACN-Liste als auch die Nachweise für die Basismaßnahmen ableiten. Details in unserer Checkliste der ACN-Basismaßnahmen.
Quellen
- ACN, Beschluss 127437/2026 (Art. 1, 16, 18, 19 und 24), unterzeichnet am 13. April 2026 (auf Italienisch).
- ACN, Aggiornamento delle informazioni und FAQ zu relevanten Lieferanten (FRN.1-FRN.10) (auf Italienisch).
- Gesetzesdekret 138/2024, Artikel 3(9)(f), und Anhang I, Punkte 8 und 9.
- CPV-Vokabular: Verordnung (EG) Nr. 213/2008 zur Änderung der Verordnung (EG) Nr. 2195/2002.
Inhalt geprüft zum Stand 1. Oktober 2026.