- Regel: artikel 18 i ACN-beslut nr 127437 av den 13 april 2026 (gällande från 15 april 2026), som ersätter beslut 379887 av den 19 december 2025.
- Vem: alla NIS-entiteter i Italien, väsentliga och viktiga, i den årliga uppdateringen av uppgifter.
- När: varje år från 15 april till 31 maj; nästa fönster är 2027.
- Vad: företagsnamn, skattenummer, land för säte, CPV-koder för de mottagna leveranserna, relevanskriterium.
Varför ACN ber om en leverantörslista
Artikel 3.9 f i lagdekret 138/2024 (D.Lgs. 138/2024, det italienska NIS2-dekretet) tillåter att dekretet tillämpas oavsett storlek på en entitet som anses kritisk "som en systemisk del av leveranskedjan, inklusive den digitala leveranskedjan", för en eller flera väsentliga eller viktiga entiteter. För att identifiera dessa entiteter behöver byrån veta vilka NIS-operatörerna är beroende av: därav skyldigheten att lista relevanta NIS-leverantörer, som infördes med beslutet om den digitala plattformen.
Listan lämnas in i NIS Service/Annual information update på ACN-portalen tillsammans med de övriga uppgifterna enligt artikel 16 (ledningsorgan, IP-adressrymder och domännamn, CSIRT-kontakt, ordningar för informationsutbyte). Kontaktpunkten bekräftar uppgifterna med en försäkran enligt presidentdekret (D.P.R.) 445/2000.
Vem som räknas som relevant leverantör
Artikel 1.1 ll i beslut 127437/2026 definierar en relevant NIS-leverantör som en entitet som levererar tjänster eller produkter till en NIS-entitet och uppfyller minst ett av två kriterier:
Kriterierna kan gälla var för sig eller tillsammans, så en leverans kan vara IKT, icke ersättningsbar eller icke ersättningsbar IKT (ACN:s FAQ FRN.2). Enligt ACN täcker det alla entitetens digitala beroenden och även icke-digitala som inte kan ersättas utan betydande inverkan: exemplet byrån ger är el.
De uppgifter som ska rapporteras för varje leverantör
| Fält (art. 18) | Vad du ska ange |
|---|---|
| a) Företagsnamn | Det registrerade namnet på den leverantör som levererar leveransen (se nedan om återförsäljare och underleverantörer). |
| b) Skattenummer | Leverantörens italienska skattenummer (codice fiscale) (för utländska leverantörer, se noten under tabellen). |
| c) Land för säte | Det land där leverantören har sitt säte, även utanför EU. |
| d) CPV-koder | Koderna i den gemensamma terminologin vid offentlig upphandling (förordning (EG) 2195/2002, ändrad genom förordning (EG) 213/2008) för de leveranser som du använder. En rad per kod. |
| e) Relevanskriterium | IKT, icke ersättningsbar eller båda. |
För utländska leverantörer utan italienskt skattenummer ska du kontrollera i portalen hur fältet ska fyllas i: ACN:s FAQ klargör det inte.
Så hittar du rätt CPV-kod
CPV är en trädstruktur: åtta siffror plus en kontrollsiffra efter bindestrecket (till exempel 72400000-4). De två första siffrorna anger avdelningen, den tredje gruppen, den fjärde klassen och den femte kategorin; ytterligare siffror preciserar ännu mer. Några praktiska regler:
- Utgå från avtalets föremål, inte från leverantörens sektor: ett företag kan ge dig uppkoppling (
72411000-4) och systemsupport (72250000-2), och det kräver två rader. - Välj den mest specifika nivån som verkligen beskriver leveransen, utan att tvinga fram den: passar ingen detaljerad kod går koden på en högre nivå bra.
- Kopiera alltid kontrollsiffran: den är en del av den officiella koden.
- Använd ACN:s kopplingar för nyare tjänster. Terminologin från 2008 innehåller inte ord som "moln" eller "CDN": FAQ FRN.4 anger vilka koder som ska användas (tabell nedan).
- Blanda inte ihop CPV och ATECO. Tabell D.1 i bilaga II.2-bis till den italienska lagen om offentlig upphandling (D.Lgs. 36/2023) ger en övergripande koppling mellan CPV och NACE/ATECO som bara är användbar för orientering: det slutliga valet ska göras utifrån hela terminologin.
| Leverans | Referens-CPV-koder |
|---|---|
| Data- och röstuppkoppling utan redundans (icke ersättningsbar IKT) | 72400000-4 Internettjänster; 72411000-4 Internetleverantörer (ISP); 72318000-7 Dataöverföringstjänster |
| El (icke ersättningsbar) | 65300000-6 Eldistribution och därmed sammanhängande tjänster; 65310000-9 Eldistribution |
| Molntjänster | 72300000-8 Datatjänster; 72400000-4 Internettjänster; 72500000-0 Datorrelaterade tjänster; 72510000-3 Datorrelaterade förvaltningstjänster |
| Datacenter | 72000000-5 IT-tjänster: konsultverksamhet, programvaruutveckling, Internet och support |
| DNS | 72417000-6 Internetdomännamn |
| CDN | 72400000-4 Internettjänster |
| Internetknutpunkter | 64221000-1 Sammankopplingstjänster |
| Betrodda tjänster | 79132100-9 Certifiering av elektroniska signaturer; 48000000-8 Programvarupaket och informationssystem |
| Elektroniska kommunikationsnät och -tjänster | 64200000-8 Telekommunikationstjänster; 64210000-1 Telefon- och dataöverföringstjänster |
| Hanterade tjänster och hanterade säkerhetstjänster | 72500000-0; 72510000-3; 72250000-2 System- och supporttjänster; 72600000-6 Datorsupport och datorkonsulttjänster; 72800000-8 Datorrevision och datortest |
De vanligaste misstagen
- Att lista återförsäljaren i stället för den som levererar tjänsten. Är leveransen avtalad med A men levereras av B rapporterar du B; A är bara relevant om A bidrar till leveransen och inte bara underlättar köpet (FAQ FRN.8). ACN:s exempel: en SaaS från B med applikationsdrift hos A, båda är relevanta; SaaS-licenser från B köpta genom A utan annan interaktion, A verkar inte vara relevant.
- Att glömma uppenbara underleverantörer. Använder A B som underleverantör rapporterar du i regel A, men även B när B:s bidrag till leveransen är tydligt (FAQ FRN.7).
- Att utelämna utländska leverantörer eller leverantörer i koncernen. Leverantörer utanför EU, leverantörer till utländska filialer och leverantörer från samma koncern ska också listas (FAQ FRN.5, FRN.6, FRN.9).
- Att sätta flera CPV-koder i en cell. En rad per kod, och upprepa leverantören (FAQ FRN.10).
- Att stanna vid IT. Kriteriet om icke ersättningsbarhet omfattar även energi, uppkoppling utan redundans och andra fysiska leveranser utan alternativ.
- Att bara använda avdelningen. En kod som
72000000-5är enligt ACN korrekt för datacenter, men för en e-posttjänst finns72412000-1: ju mer exakt koden är, desto mer användbar är uppgiften. - Att inte uppdatera listan. Efter den årliga uppdateringen rapporteras ändringar av de inlämnade uppgifterna via den löpande uppdateringen (art. 19), som beslutet kräver ska ske i tid och i alla händelser inom 14 dagar efter ändringen (art. 1 hh).
Samband med de grundläggande åtgärderna
ACN-listan ersätter inte den leverantörsförteckning som de grundläggande säkerhetsåtgärderna kräver: åtgärd GV.SC-04 kräver en uppdaterad förteckning över leverantörer av leveranser med möjlig säkerhetspåverkan, med en kontaktperson och typ av leverans; GV.SC-05 och GV.SC-07 kräver säkerhetskrav i avtal, en riskbedömning av leveransen och periodiska kontroller av efterlevnad. Det är rimligt att föra ett register som du tar fram både ACN-listan och underlaget för de grundläggande åtgärderna ur. Detaljer i vår checklista över ACN:s grundläggande åtgärder.
Källor
- ACN, beslut 127437/2026 (art. 1, 16, 18, 19 och 24), undertecknat den 13 april 2026 (på italienska).
- ACN, Aggiornamento delle informazioni och FAQ om relevanta leverantörer (FRN.1-FRN.10) (på italienska).
- Lagdekret 138/2024, artikel 3.9 f och bilaga I, punkt 8 och 9.
- CPV-terminologin: förordning (EG) nr 213/2008 om ändring av förordning (EG) nr 2195/2002.
Innehållet kontrollerat per 1 oktober 2026.