- Norma: art. 18 della Determinazione ACN n. 127437 del 13 aprile 2026 (applicabile dal 15 aprile 2026), che sostituisce la Determinazione 379887 del 19 dicembre 2025.
- Chi: tutti i soggetti NIS, essenziali e importanti, nell'aggiornamento annuale delle informazioni.
- Quando: ogni anno dal 15 aprile al 31 maggio; la prossima finestra è quella del 2027.
- Cosa: denominazione, codice fiscale, paese della sede legale, codici CPV delle forniture ricevute, criterio di rilevanza.
Perché l'ACN chiede l'elenco dei fornitori
L'art. 3, comma 9, lettera f), del D.Lgs. 138/2024 consente di applicare il decreto, indipendentemente dalle dimensioni, a un soggetto considerato critico "quale elemento sistemico della catena di approvvigionamento, anche digitale" di uno o più soggetti essenziali o importanti. Per individuare questi soggetti l'Agenzia deve sapere da chi dipendono gli operatori NIS: da qui l'obbligo di elencare i fornitori rilevanti NIS introdotto con la determinazione sulla piattaforma digitale.
L'elencazione avviene nel Servizio NIS/Aggiornamento annuale informazioni del Portale ACN, insieme agli altri dati dell'art. 16 (organi di amministrazione, spazio di indirizzamento IP e nomi di dominio, referente CSIRT, accordi di condivisione). Il punto di contatto conferma le informazioni con dichiarazione resa ai sensi del D.P.R. 445/2000.
Chi è un fornitore rilevante
L'art. 1, comma 1, lettera ll), della Determinazione 127437/2026 definisce fornitore rilevante NIS il soggetto che fornisce servizi o prodotti a un soggetto NIS e soddisfa almeno uno di due criteri:
I criteri si possono applicare in alternativa o insieme, quindi una fornitura può essere ICT, non fungibile oppure ICT non fungibile (FAQ ACN FRN.2). Secondo l'ACN rientrano tutte le dipendenze digitali del soggetto e anche quelle non digitali che non si possono sostituire senza un impatto significativo: l'esempio fatto dall'Agenzia è la corrente elettrica.
I dati da comunicare per ogni fornitore
| Campo (art. 18) | Cosa inserire |
|---|---|
| a) Denominazione | La ragione sociale del fornitore che eroga la fornitura (vedi sotto il caso di rivenditori e subfornitori). |
| b) Codice fiscale | Il codice fiscale del fornitore (per i fornitori esteri vedi la nota sotto la tabella). |
| c) Paese della sede legale | Lo Stato in cui ha sede legale il fornitore, anche extra-UE. |
| d) Codici CPV | I codici del vocabolario comune per gli appalti (Reg. CE 2195/2002, modificato dal Reg. CE 213/2008) relativi alle forniture di cui fruisci. Una riga per codice. |
| e) Criterio di rilevanza | ICT, non fungibile, o entrambi. |
Per i fornitori esteri senza codice fiscale italiano, verifica sul portale come il campo va compilato: le FAQ ACN non lo chiariscono.
Come trovare il codice CPV giusto
Il CPV è una classificazione ad albero: otto cifre più una cifra di controllo dopo il trattino (per esempio 72400000-4). Le prime due cifre indicano la divisione, la terza il gruppo, la quarta la classe e la quinta la categoria; le cifre successive affinano ulteriormente. Qualche regola pratica:
- Parti dall'oggetto del contratto, non dal settore del fornitore: un'unica società può darti connettività (
72411000-4) e assistenza sistemistica (72250000-2), e servono due righe. - Scegli il livello più specifico che descrive davvero la fornitura, senza forzare: se nessun codice di dettaglio calza, il codice del livello superiore è accettabile.
- Copia sempre la cifra di controllo: è parte del codice ufficiale.
- Per i servizi recenti usa le corrispondenze ACN. Il vocabolario del 2008 non contiene parole come "cloud" o "CDN": la FAQ FRN.4 indica a quali codici ricondurli (tabella sotto).
- Non confondere CPV e ATECO. La Tabella D.1 dell'allegato II.2-bis del Codice dei contratti pubblici (D.Lgs. 36/2023) offre una corrispondenza di alto livello CPV-NACE/ATECO, utile solo come orientamento: la scelta finale va fatta sul vocabolario completo.
| Fornitura | Codici CPV di riferimento |
|---|---|
| Connettività dati e voce non ridondata (ICT non fungibile) | 72400000-4 Servizi di Internet; 72411000-4 Fornitori di servizi Internet (ISP); 72318000-7 Servizi di trasmissione dati |
| Corrente elettrica (non fungibile) | 65300000-6 Erogazione di energia elettrica e servizi connessi; 65310000-9 Erogazione di energia elettrica |
| Cloud computing | 72300000-8 Servizi di elaborazione dati; 72400000-4 Servizi di Internet; 72500000-0 Servizi informatici; 72510000-3 Servizi di gestione connessi all'informatica |
| Data center | 72000000-5 Servizi informatici: consulenza, sviluppo di software, Internet e supporto |
| DNS | 72417000-6 Nomi di dominio di Internet |
| CDN | 72400000-4 Servizi di Internet |
| Punti di interscambio internet | 64221000-1 Servizi di interconnessione |
| Servizi fiduciari | 79132100-9 Servizi di certificazione della firma elettronica; 48000000-8 Pacchetti software e sistemi di informazione |
| Reti e servizi di comunicazione elettronica | 64200000-8 Servizi di telecomunicazione; 64210000-1 Servizi telefonici e di trasmissione dati |
| Servizi gestiti e servizi gestiti di sicurezza | 72500000-0; 72510000-3; 72250000-2 Servizi di manutenzione e assistenza sistemi; 72600000-6 Servizi di consulenza e assistenza informatica; 72800000-8 Servizi di audit e collaudo informatico |
Gli errori più comuni
- Elencare il rivenditore invece di chi eroga il servizio. Se la fornitura è contrattualizzata con A ma erogata da B, va segnalato B; A è rilevante solo se contribuisce all'erogazione e non si limita a facilitare l'acquisto (FAQ FRN.8). Esempio ACN: SaaS di B gestito applicativamente da A, sono rilevanti entrambi; licenze SaaS di B comprate da A senza altre interazioni, A non appare rilevante.
- Dimenticare i subfornitori evidenti. Con A che si avvale di B come subfornitore si segnala in generale A, ma anche B quando il suo contributo alla fornitura è palese (FAQ FRN.7).
- Escludere i fornitori esteri o infragruppo. Vanno elencati anche i fornitori extra-UE, quelli delle sedi estere e quelli dello stesso gruppo (FAQ FRN.5, FRN.6, FRN.9).
- Mettere più CPV in una cella. Una riga per ogni codice, ripetendo il fornitore (FAQ FRN.10).
- Fermarsi all'IT. Il criterio della non fungibilità copre anche energia, connettività senza ridondanza e altre forniture fisiche senza alternative.
- Usare solo la divisione. Un codice come
72000000-5è corretto per i data center secondo l'ACN, ma per un servizio di posta elettronica esiste72412000-1: più il codice è preciso, più l'informazione è utile. - Non aggiornare l'elenco. Dopo l'aggiornamento annuale, le modifiche alle informazioni trasmesse si comunicano con l'aggiornamento continuo (art. 19), che la determinazione chiede tempestivo e comunque entro 14 giorni dalla modifica (art. 1, lett. hh).
Collegamento con le misure di base
L'elenco per l'ACN non sostituisce l'inventario fornitori richiesto dalle misure di sicurezza di base: la misura GV.SC-04 chiede un inventario aggiornato dei fornitori delle forniture con potenziali impatti sulla sicurezza, con referente e tipologia di fornitura; GV.SC-05 e GV.SC-07 chiedono requisiti di sicurezza nei contratti, valutazione del rischio della fornitura e verifica periodica di conformità. Conviene tenere un unico registro da cui derivare sia l'elenco ACN sia l'evidenza per le misure di base. Dettagli nella nostra checklist delle misure di base ACN.
Fonti
- ACN, Determinazione 127437/2026 (artt. 1, 16, 18, 19 e 24), firmata il 13 aprile 2026.
- ACN, Aggiornamento delle informazioni e FAQ sui fornitori rilevanti (FRN.1-FRN.10).
- D.Lgs. 138/2024, art. 3, comma 9, lett. f), e allegato I, punti 8 e 9.
- Vocabolario CPV: Regolamento (CE) n. 213/2008 che modifica il Regolamento (CE) n. 2195/2002.
Contenuti verificati al 1° ottobre 2026.