- Règle : article 18 de la décision ACN n° 127437 du 13 avril 2026 (applicable à partir du 15 avril 2026), qui remplace la décision 379887 du 19 décembre 2025.
- Qui : toutes les entités NIS en Italie, essentielles et importantes, lors de la mise à jour annuelle des informations.
- Quand : chaque année du 15 avril au 31 mai ; la prochaine période est en 2027.
- Quoi : nom de l'entreprise, code fiscal, pays du siège social, codes CPV des fournitures reçues, critère de pertinence.
Pourquoi l'ACN demande une liste de fournisseurs
L'article 3, par. 9, point f, du décret législatif 138/2024 (D.Lgs. 138/2024, le décret italien NIS2) permet d'appliquer le décret, quelle que soit la taille, à une entité considérée comme critique « en tant qu'élément systémique de la chaîne d'approvisionnement, y compris la chaîne d'approvisionnement numérique » d'une ou plusieurs entités essentielles ou importantes. Pour identifier ces entités, l'Agence doit savoir de qui dépendent les opérateurs NIS : d'où l'obligation de lister les fournisseurs NIS pertinents, introduite par la décision sur la plateforme numérique.
La liste est soumise dans le service NIS/Mise à jour annuelle des informations du portail de l'ACN, avec les autres données prévues à l'article 16 (organes de direction, espace d'adresses IP et noms de domaine, contact CSIRT, dispositifs de partage d'informations). Le point de contact confirme les informations par une déclaration faite en vertu du décret du Président de la République (D.P.R.) 445/2000.
Qui est un fournisseur pertinent
L'article 1, par. 1, point ll, de la décision 127437/2026 définit un fournisseur NIS pertinent comme une entité qui fournit des services ou des produits à une entité NIS et répond à au moins l'un de ces deux critères :
Les critères peuvent s'appliquer séparément ou ensemble ; une fourniture peut donc être TIC, non fongible ou TIC non fongible (FAQ ACN FRN.2). Selon l'ACN, cela couvre toutes les dépendances numériques de l'entité ainsi que les dépendances non numériques qui ne peuvent pas être remplacées sans impact significatif : l'exemple donné par l'Agence est l'électricité.
Les données à déclarer pour chaque fournisseur
| Champ (art. 18) | Ce qu'il faut saisir |
|---|---|
| a) Nom de l'entreprise | La raison sociale du fournisseur qui livre la fourniture (voir plus bas pour les revendeurs et les sous-traitants). |
| b) Code fiscal | Le code fiscal italien du fournisseur (codice fiscale) (pour les fournisseurs étrangers, voir la note sous le tableau). |
| c) Pays du siège social | Le pays où le fournisseur a son siège social, y compris hors UE. |
| d) Codes CPV | Les codes du Vocabulaire commun pour les marchés publics (règl. (CE) 2195/2002, modifié par le règl. (CE) 213/2008) correspondant aux fournitures que vous utilisez. Une ligne par code. |
| e) Critère de pertinence | TIC, non fongible, ou les deux. |
Pour les fournisseurs étrangers sans code fiscal italien, vérifiez dans le portail comment le champ doit être rempli : les FAQ de l'ACN ne le précisent pas.
Comment trouver le bon code CPV
Le CPV est une classification arborescente : huit chiffres plus un chiffre de contrôle après le tiret (par exemple 72400000-4). Les deux premiers chiffres indiquent la division, le troisième le groupe, le quatrième la classe et le cinquième la catégorie ; les chiffres suivants affinent encore. Quelques règles pratiques :
- Partez de l'objet du contrat, pas du secteur du fournisseur : une même entreprise peut vous fournir de la connectivité (
72411000-4) et un support système (72250000-2), ce qui fait deux lignes. - Choisissez le niveau le plus précis qui décrit réellement la fourniture, sans le forcer : si aucun code détaillé ne convient, le code de niveau supérieur est acceptable.
- Recopiez toujours le chiffre de contrôle : il fait partie du code officiel.
- Pour les services récents, utilisez les correspondances de l'ACN. Le vocabulaire de 2008 ne contient pas de termes comme « cloud » ou « CDN » : la FAQ FRN.4 indique quels codes utiliser (tableau ci-dessous).
- Ne confondez pas CPV et ATECO. Le tableau D.1 de l'annexe II.2-bis du Code italien des marchés publics (D.Lgs. 36/2023) propose une correspondance de haut niveau entre CPV et NACE/ATECO, utile seulement à titre d'orientation : le choix final doit se faire sur le vocabulaire complet.
| Fourniture | Codes CPV de référence |
|---|---|
| Connectivité données et voix non redondante (TIC non fongibles) | 72400000-4 Services Internet ; 72411000-4 Fournisseurs d'accès Internet (FAI) ; 72318000-7 Services de transmission de données |
| Électricité (non fongible) | 65300000-6 Distribution d'électricité et services connexes ; 65310000-9 Distribution d'électricité |
| Cloud computing | 72300000-8 Services de données ; 72400000-4 Services Internet ; 72500000-0 Services informatiques ; 72510000-3 Services de gestion informatique |
| Centre de données | 72000000-5 Services informatiques : conseil, développement de logiciels, Internet et assistance |
| DNS | 72417000-6 Noms de domaine Internet |
| CDN | 72400000-4 Services Internet |
| Points d'échange Internet | 64221000-1 Services d'interconnexion |
| Services de confiance | 79132100-9 Services de certification de signature électronique ; 48000000-8 Logiciels et systèmes d'information |
| Réseaux et services de communications électroniques | 64200000-8 Services de télécommunications ; 64210000-1 Services de téléphonie et de transmission de données |
| Services gérés et services de sécurité gérés | 72500000-0 ; 72510000-3 ; 72250000-2 Services de systèmes et d'appui ; 72600000-6 Services d'appui informatique et de conseil ; 72800000-8 Services d'audit et d'essai informatiques |
Les erreurs les plus courantes
- Indiquer le revendeur plutôt que celui qui fournit le service. Si la fourniture est contractée avec A mais assurée par B, déclarez B ; A n'est pertinent que s'il contribue à la fourniture et ne se contente pas de faciliter l'achat (FAQ FRN.8). Exemple de l'ACN : un SaaS de B avec gestion applicative par A, les deux sont pertinents ; des licences SaaS de B achetées via A sans autre interaction, A n'apparaît pas pertinent.
- Oublier les sous-traitants évidents. Si A recourt à B en sous-traitance, vous déclarez en général A, mais aussi B lorsque sa contribution à la fourniture est évidente (FAQ FRN.7).
- Omettre les fournisseurs étrangers ou intra-groupe. Les fournisseurs hors UE, ceux des succursales étrangères et ceux du même groupe doivent aussi être listés (FAQ FRN.5, FRN.6, FRN.9).
- Mettre plusieurs codes CPV dans une même cellule. Une ligne par code, en répétant le fournisseur (FAQ FRN.10).
- S'arrêter à l'informatique. Le critère de non-fongibilité couvre aussi l'énergie, la connectivité sans redondance et d'autres fournitures physiques sans alternative.
- N'utiliser que la division. Un code comme
72000000-5est correct pour les centres de données selon l'ACN, mais pour un service de messagerie il existe72412000-1: plus le code est précis, plus l'information est utile. - Ne pas mettre la liste à jour. Après la mise à jour annuelle, les modifications des informations transmises sont déclarées par la mise à jour continue (art. 19), que la détermination exige rapide et en tout cas dans les 14 jours suivant la modification (art. 1, point hh).
Lien avec les mesures de base
La liste de l'ACN ne remplace pas l'inventaire des fournisseurs exigé par les mesures de sécurité de base : la mesure GV.SC-04 impose un inventaire à jour des fournisseurs de prestations ayant un impact potentiel sur la sécurité, avec un interlocuteur et le type de fourniture ; GV.SC-05 et GV.SC-07 exigent des exigences de sécurité dans les contrats, une évaluation du risque lié à la fourniture et des contrôles de conformité périodiques. Il est judicieux de tenir un registre unique dont vous tirez à la fois la liste de l'ACN et les preuves pour les mesures de base. Détails dans notre checklist des mesures de base de l'ACN.
Sources
- ACN, Détermination 127437/2026 (art. 1, 16, 18, 19 et 24), signée le 13 avril 2026 (en italien).
- ACN, Aggiornamento delle informazioni et FAQ sur les fournisseurs pertinents (FRN.1-FRN.10) (en italien).
- Décret législatif 138/2024, article 3, paragraphe 9, point f), et annexe I, points 8 et 9.
- Vocabulaire CPV : règlement (CE) n° 213/2008 modifiant le règlement (CE) n° 2195/2002.
Contenu vérifié au 1er octobre 2026.