- Regula: articolul 18 din Determinarea ACN nr. 127437 din 13 aprilie 2026 (aplicabilă de la 15 aprilie 2026), care înlocuiește Determinarea 379887 din 19 decembrie 2025.
- Cine: toate entitățile NIS din Italia, esențiale și importante, în actualizarea anuală a informațiilor.
- Când: în fiecare an, între 15 aprilie și 31 mai; următorul interval este în 2027.
- Ce: denumirea companiei, codul fiscal, țara sediului social, codurile CPV ale furnizărilor primite, criteriul de relevanță.
De ce cere ACN o listă a furnizorilor
Articolul 3 alineatul (9) litera (f) din Decretul legislativ 138/2024 (D.Lgs. 138/2024, decretul italian NIS2) permite aplicarea decretului, indiferent de dimensiune, unei entități considerate critice „ca element sistemic al lanțului de aprovizionare, inclusiv al lanțului de aprovizionare digital” al uneia sau mai multor entități esențiale ori importante. Pentru a identifica aceste entități, Agenția trebuie să știe de cine depind operatorii NIS: de aici obligația de a întocmi lista furnizorilor NIS relevanți, introdusă prin determinarea privind platforma digitală.
Lista se transmite în serviciul NIS/Actualizarea anuală a informațiilor de pe portalul ACN, împreună cu celelalte date conform articolului 16 (organele de conducere, spațiul de adrese IP și numele de domeniu, persoana de contact CSIRT, acordurile de schimb de informații). Punctul de contact confirmă informațiile printr-o declarație făcută conform Decretului prezidențial (D.P.R.) 445/2000.
Cine este considerat furnizor relevant
Articolul 1 alineatul (1) litera (ll) din Determinarea 127437/2026 definește un furnizor NIS relevant ca o entitate care furnizează servicii sau produse unei entități NIS și îndeplinește cel puțin unul dintre cele două criterii:
Criteriile se pot aplica separat sau împreună, astfel încât o furnizare poate fi TIC, nefungibilă sau TIC nefungibilă (întrebarea frecventă ACN FRN.2). Potrivit ACN, aceasta acoperă toate dependențele digitale ale entității și, de asemenea, pe cele nedigitale care nu pot fi înlocuite fără un impact semnificativ: exemplul dat de Agenție este energia electrică.
Datele de raportat pentru fiecare furnizor
| Câmp (art. 18) | Ce introduceți |
|---|---|
| a) Denumirea companiei | Denumirea înregistrată a furnizorului care efectuează furnizarea (vedeți mai jos pentru revânzători și subcontractanți). |
| b) Cod fiscal | Codul fiscal italian (codice fiscale) al furnizorului (pentru furnizorii străini, consultați nota de sub tabel). |
| c) Țara sediului social | Țara în care furnizorul își are sediul social, inclusiv în afara UE. |
| d) Coduri CPV | Codurile din Vocabularul comun privind achizițiile publice (Reg. (CE) 2195/2002, modificat prin Reg. (CE) 213/2008) pentru furnizările pe care le folosiți. Câte un rând pentru fiecare cod. |
| e) Criteriul de relevanță | TIC, nefungibilă sau ambele. |
Pentru furnizorii străini fără cod fiscal italian, verificați în portal cum trebuie completat câmpul: întrebările frecvente ACN nu clarifică acest lucru.
Cum găsiți codul CPV potrivit
CPV este o clasificare arborescentă: opt cifre plus o cifră de control după cratimă (de exemplu 72400000-4). Primele două cifre indică diviziunea, a treia grupa, a patra clasa și a cincea categoria; cifrele următoare rafinează și mai mult. Câteva reguli practice:
- Porniți de la obiectul contractului, nu de la sectorul furnizorului: aceeași companie vă poate oferi conectivitate (
72411000-4) și asistență pentru sisteme (72250000-2), iar asta înseamnă două rânduri. - Alegeți nivelul cel mai specific care descrie cu adevărat furnizarea, fără să forțați: dacă niciun cod detaliat nu se potrivește, codul de nivel superior este acceptabil.
- Copiați întotdeauna cifra de control: face parte din codul oficial.
- Pentru serviciile recente, folosiți corespondențele ACN. Vocabularul din 2008 nu conține cuvinte precum „cloud” sau „CDN”: întrebarea frecventă FRN.4 indică ce coduri să folosiți (tabelul de mai jos).
- Nu confundați CPV cu ATECO. Tabelul D.1 din Anexa II.2-bis la Codul italian al contractelor publice (D.Lgs. 36/2023) oferă o corespondență generală CPV-NACE/ATECO, utilă doar pentru orientare: alegerea finală trebuie făcută pe baza vocabularului complet.
| Furnizare | Coduri CPV de referință |
|---|---|
| Conectivitate de date și voce fără redundanță (TIC nefungibilă) | 72400000-4 Servicii de internet; 72411000-4 Furnizori de servicii de internet (ISP); 72318000-7 Servicii de transmisie de date |
| Energie electrică (nefungibilă) | 65300000-6 Distribuție de electricitate și servicii conexe; 65310000-9 Distribuție de electricitate |
| Cloud computing | 72300000-8 Servicii de date; 72400000-4 Servicii de internet; 72500000-0 Servicii informatice; 72510000-3 Servicii de gestionare informatică |
| Centru de date | 72000000-5 Servicii IT: consultanță, dezvoltare de software, internet și asistență |
| DNS | 72417000-6 Nume de domenii de internet |
| CDN | 72400000-4 Servicii de internet |
| Puncte de schimb de internet | 64221000-1 Servicii de interconectare |
| Servicii de încredere | 79132100-9 Servicii de certificare a semnăturii electronice; 48000000-8 Pachete software și sisteme informatice |
| Rețele și servicii de comunicații electronice | 64200000-8 Servicii de telecomunicații; 64210000-1 Servicii de telefonie și de transmisie de date |
| Servicii gestionate și servicii de securitate gestionate | 72500000-0; 72510000-3; 72250000-2 Servicii de sisteme și de asistență; 72600000-6 Servicii de asistență și de consultanță informatică; 72800000-8 Servicii de audit informatic și de testare informatică |
Cele mai frecvente greșeli
- Includerea revânzătorului în locul celui care furnizează serviciul. Dacă furnizarea este contractată cu A, dar efectuată de B, raportați B; A este relevant doar dacă contribuie la furnizare și nu doar facilitează achiziția (FAQ FRN.8). Exemplu ACN: un SaaS de la B cu gestionarea aplicației de către A, ambii sunt relevanți; licențe SaaS de la B cumpărate prin A fără altă interacțiune, A nu pare relevant.
- Omiterea subcontractanților evidenți. Dacă A folosește B ca subcontractant, raportați în general A, dar și B atunci când contribuția sa la furnizare este evidentă (FAQ FRN.7).
- Omiterea furnizorilor străini sau din grup. Și furnizorii din afara UE, furnizorii sucursalelor străine și furnizorii din același grup trebuie incluși (FAQ FRN.5, FRN.6, FRN.9).
- Mai multe coduri CPV într-o singură celulă. Câte un rând pentru fiecare cod, repetând furnizorul (FAQ FRN.10).
- Oprirea la IT. Criteriul nefungibilității acoperă și energia, conectivitatea fără redundanță și alte furnizări fizice fără alternativă.
- Folosirea doar a diviziunii. Un cod precum
72000000-5este corect pentru centrele de date potrivit ACN, dar pentru un serviciu de e-mail există72412000-1: cu cât codul este mai precis, cu atât informația este mai utilă. - Neactualizarea listei. După actualizarea anuală, modificările informațiilor transmise se raportează prin actualizarea continuă (art. 19), pe care determinarea o cere promptă și, în orice caz, în termen de 14 zile de la modificare (art. 1 lit. (hh)).
Legătura cu măsurile de bază
Lista ACN nu înlocuiește inventarul furnizorilor cerut de măsurile de securitate de bază: măsura GV.SC-04 cere un inventar actualizat al furnizorilor de furnizări cu potențial impact asupra securității, cu persoană de contact și tipul furnizării; GV.SC-05 și GV.SC-07 cer cerințe de securitate în contracte, o evaluare a riscurilor furnizării și verificări periodice ale conformității. Este logic să țineți un singur registru din care să derivați atât lista ACN, cât și dovezile pentru măsurile de bază. Detalii în lista noastră de verificare a măsurilor de bază ACN.
Surse
- ACN, Determinarea 127437/2026 (art. 1, 16, 18, 19 și 24), semnată la 13 aprilie 2026 (în italiană).
- ACN, Aggiornamento delle informazioni și întrebările frecvente despre furnizorii relevanți (FRN.1-FRN.10) (în italiană).
- Decretul legislativ 138/2024, articolul 3 alineatul (9) litera (f) și Anexa I, punctele 8 și 9.
- Vocabularul CPV: Regulamentul (CE) nr. 213/2008 de modificare a Regulamentului (CE) nr. 2195/2002.
Conținut verificat la 1 octombrie 2026.