- Przepis: art. 18 decyzji ACN nr 127437 z 13 kwietnia 2026 r. (obowiązującej od 15 kwietnia 2026 r.), która zastępuje decyzję 379887 z 19 grudnia 2025 r.
- Kto: wszystkie podmioty NIS we Włoszech, kluczowe i ważne, w rocznej aktualizacji informacji.
- Kiedy: co roku od 15 kwietnia do 31 maja; następne okno przypada w 2027 r.
- Co: nazwa firmy, kod podatkowy, kraj siedziby, kody CPV otrzymywanych dostaw, kryterium istotności.
Dlaczego ACN prosi o listę dostawców
Art. 3 ust. 9 lit. f dekretu ustawodawczego 138/2024 (D.Lgs. 138/2024, włoski dekret NIS2) pozwala stosować dekret, niezależnie od wielkości, do podmiotu uznanego za krytyczny „jako systemowy element łańcucha dostaw, w tym cyfrowego łańcucha dostaw” jednego lub więcej podmiotów kluczowych lub ważnych. Aby zidentyfikować te podmioty, Agencja musi wiedzieć, od kogo zależą operatorzy NIS: stąd obowiązek wpisywania istotnych dostawców NIS, wprowadzony decyzją dotyczącą platformy cyfrowej.
Lista jest przekazywana w usłudze NIS/Annual information update w portalu ACN, wraz z pozostałymi danymi z art. 16 (organy zarządzające, przestrzeń adresów IP i nazwy domen, kontakt CSIRT, porozumienia o wymianie informacji). Punkt kontaktowy potwierdza informacje oświadczeniem złożonym na podstawie dekretu prezydenta (D.P.R.) 445/2000.
Kto jest istotnym dostawcą
Art. 1 ust. 1 lit. ll decyzji 127437/2026 definiuje istotnego dostawcę NIS jako podmiot, który świadczy usługi lub dostarcza produkty podmiotowi NIS i spełnia co najmniej jedno z dwóch kryteriów:
Kryteria mogą obowiązywać osobno lub łącznie, więc dostawa może być ICT, niezastępowalna lub niezastępowalna ICT (FAQ ACN FRN.2). Według ACN obejmuje to wszystkie cyfrowe zależności podmiotu, a także niecyfrowe, których nie można zastąpić bez istotnego wpływu: przykładem podanym przez Agencję jest energia elektryczna.
Dane do zgłoszenia dla każdego dostawcy
| Pole (art. 18) | Co wpisać |
|---|---|
| a) Nazwa firmy | Nazwa rejestrowa dostawcy realizującego dostawę (o resellerach i podwykonawcach niżej). |
| b) Kod podatkowy | Włoski kod podatkowy dostawcy (codice fiscale) (w przypadku dostawców zagranicznych zob. uwagę pod tabelą). |
| c) Kraj siedziby | Kraj, w którym dostawca ma siedzibę statutową, także poza UE. |
| d) Kody CPV | Kody Wspólnego Słownika Zamówień (rozp. (WE) 2195/2002, zmienione rozp. (WE) 213/2008) dla używanych dostaw. Jeden wiersz na kod. |
| e) Kryterium istotności | ICT, niezastępowalna lub obie. |
W przypadku dostawców zagranicznych bez włoskiego kodu podatkowego sprawdź w portalu, jak należy uzupełnić to pole: FAQ ACN tego nie wyjaśniają.
Jak znaleźć właściwy kod CPV
CPV to klasyfikacja drzewiasta: osiem cyfr plus cyfra kontrolna po łączniku (na przykład 72400000-4). Pierwsze dwie cyfry wskazują dział, trzecia grupę, czwarta klasę, a piąta kategorię; dalsze cyfry doprecyzowują ją jeszcze bardziej. Kilka praktycznych zasad:
- Zacznij od przedmiotu umowy, a nie od branży dostawcy: jedna firma może dostarczać Ci łączność (
72411000-4) i wsparcie systemów (72250000-2), a to oznacza dwa wiersze. - Wybierz najbardziej szczegółowy poziom, który naprawdę opisuje dostawę, bez naciągania: jeśli żaden szczegółowy kod nie pasuje, wystarczy kod wyższego poziomu.
- Zawsze przepisuj cyfrę kontrolną: jest częścią oficjalnego kodu.
- Przy nowszych usługach korzystaj z mapowań ACN. Słownik z 2008 roku nie zawiera pojęć takich jak „cloud" czy „CDN": FAQ FRN.4 wskazuje, których kodów użyć (tabela poniżej).
- Nie myl CPV z ATECO. Tabela D.1 załącznika II.2-bis do włoskiego Kodeksu zamówień publicznych (D.Lgs. 36/2023) zawiera ogólne mapowanie CPV-NACE/ATECO, przydatne tylko orientacyjnie: ostateczny wybór trzeba oprzeć na pełnym słowniku.
| Dostawa | Referencyjne kody CPV |
|---|---|
| Nadmiarowa łączność danych i głosu (niezastępowalne ICT) | 72400000-4 Usługi internetowe; 72411000-4 Dostawcy usług internetowych ISP; 72318000-7 Usługi transmisji danych |
| Energia elektryczna (niezastępowalna) | 65300000-6 Dystrybucja energii elektrycznej i usługi pokrewne; 65310000-9 Dystrybucja energii elektrycznej |
| Chmura obliczeniowa | 72300000-8 Usługi w zakresie danych; 72400000-4 Usługi internetowe; 72500000-0 Usługi informatyczne; 72510000-3 Usługi zarządzania w zakresie informatyki |
| Centrum danych | 72000000-5 Usługi informatyczne: konsultacyjne, opracowywania oprogramowania, internetowe i wsparcia |
| DNS | 72417000-6 Nazwy domen internetowych |
| CDN | 72400000-4 Usługi internetowe |
| Punkty wymiany ruchu internetowego | 64221000-1 Usługi połączeń wzajemnych |
| Usługi zaufania | 79132100-9 Usługi certyfikacji podpisu elektronicznego; 48000000-8 Pakiety oprogramowania i systemy informatyczne |
| Sieci i usługi łączności elektronicznej | 64200000-8 Usługi telekomunikacyjne; 64210000-1 Usługi telefoniczne i transmisji danych |
| Usługi zarządzane i zarządzane usługi bezpieczeństwa | 72500000-0; 72510000-3; 72250000-2 Usługi systemowe i wsparcia; 72600000-6 Usługi wsparcia i doradztwa informatycznego; 72800000-8 Usługi audytu i testowania komputerów |
Najczęstsze błędy
- Wpisanie reselera zamiast tego, kto faktycznie świadczy usługę. Jeśli dostawa jest zakontraktowana z A, ale realizowana przez B, zgłaszasz B; A jest istotny tylko wtedy, gdy przyczynia się do realizacji, a nie wyłącznie ułatwia zakup (FAQ FRN.8). Przykład ACN: SaaS od B z zarządzaniem aplikacją przez A, istotni są obaj; licencje SaaS od B kupione przez A bez żadnej innej interakcji, A nie wydaje się istotny.
- Pominięcie oczywistych podwykonawców. Jeśli A korzysta z B jako podwykonawcy, zgłaszasz zasadniczo A, ale także B, gdy jego wkład w dostawę jest oczywisty (FAQ FRN.7).
- Pominięcie dostawców zagranicznych lub z tej samej grupy. Dostawców spoza UE, dostawców zagranicznych oddziałów i dostawców z tej samej grupy również trzeba wpisać (FAQ FRN.5, FRN.6, FRN.9).
- Wpisanie kilku kodów CPV w jednej komórce. Jeden wiersz na kod, z powtórzeniem dostawcy (FAQ FRN.10).
- Poprzestanie na IT. Kryterium niezastępowalności obejmuje także energię, łączność bez redundancji i inne dostawy fizyczne, które nie mają alternatywy.
- Używanie samego działu. Kod taki jak
72000000-5jest według ACN poprawny dla centrów danych, ale dla usługi poczty e-mail istnieje72412000-1: im dokładniejszy kod, tym bardziej użyteczna informacja. - Brak aktualizacji listy. Po aktualizacji rocznej zmiany w przekazanych informacjach zgłasza się w ramach aktualizacji ciągłej (art. 19), która zgodnie z uchwałą ma być terminowa i w każdym razie nastąpić w ciągu 14 dni od zmiany (art. 1 lit. hh).
Związek z podstawowymi środkami bezpieczeństwa
Lista ACN nie zastępuje inwentarza dostawców wymaganego przez podstawowe środki bezpieczeństwa: środek GV.SC-04 wymaga aktualnego inwentarza dostawców, których dostawy mogą wpływać na bezpieczeństwo, z osobą kontaktową i rodzajem dostawy; GV.SC-05 i GV.SC-07 wymagają wymogów bezpieczeństwa w umowach, oceny ryzyka dostaw i okresowych kontroli zgodności. Warto prowadzić jeden rejestr, z którego wyprowadzisz zarówno listę ACN, jak i dowody dla środków podstawowych. Szczegóły w naszej liście kontrolnej podstawowych środków ACN.
Źródła
- ACN, Uchwała 127437/2026 (art. 1, 16, 18, 19 i 24), podpisana 13 kwietnia 2026 r. (po włosku).
- ACN, Aggiornamento delle informazioni oraz FAQ dotyczące dostawców istotnych (FRN.1-FRN.10) (po włosku).
- Dekret ustawodawczy 138/2024, art. 3 ust. 9 lit. f oraz załącznik I, pkt 8 i 9.
- Słownik CPV: rozporządzenie (WE) nr 213/2008 zmieniające rozporządzenie (WE) nr 2195/2002.
Treść sprawdzona według stanu na 1 października 2026 r.