Introduzione
La supply chain diventa un obbligo NIS documentato.
Con la Determinazione ACN n. 127437 del 13 aprile 2026, il percorso NIS2 italiano entra in una fase più operativa. Tra gli adempimenti più rilevanti c'è l'articolo 18, dedicato all'elencazione dei fornitori rilevanti NIS: una misura che chiede ai soggetti essenziali e importanti di guardare oltre il proprio perimetro interno.
Il punto e semplice ma impegnativo: se un fornitore sostiene servizi ICT, infrastrutture digitali, processi non sostituibili o attività da cui dipende la continuità dei servizi NIS, deve essere valutato, classificato e documentato. La gestione dei fornitori non e più solo una questione contrattuale o di procurement; diventa una responsabilità di cybersecurity, compliance e resilienza aziendale.
Quadro normativo
Rapporto tra NIS2, D.Lgs. 138/2024 e Determinazione ACN 2026
La Direttiva NIS2 è stata recepita in Italia con il D.Lgs. 138/2024. Il decreto definisce ambito di applicazione, ruoli, obblighi di sicurezza, incident reporting e responsabilità dei soggetti essenziali e importanti. Le determinazioni ACN traducono progressivamente questo quadro in adempimenti, modalità operative e informazioni da rendere disponibili.
La finalita dell'articolo 18 e rafforzare la sicurezza della catena di approvvigionamento. Un'organizzazione può avere buoni controlli interni, ma restare esposta se cloud, connettivita, servizi gestiti, software, energia, data center o fornitori non fungibili non sono governati con la stessa attenzione. Per questo ACN richiede una mappa più chiara delle dipendenze che possono incidere sulla continuità dei servizi NIS.
Articolo 18
Cosa prevede l'elencazione dei fornitori rilevanti NIS
L'articolo 18 richiede ai soggetti NIS di comunicare informazioni sui fornitori rilevanti. La definizione operativa ruota intorno a due criteri: la fornitura ICT e la fornitura non fungibile, cioè una dipendenza la cui interruzione o compromissione avrebbe un impatto significativo sulla capacità del soggetto NIS di erogare i propri servizi.
Fornitori ICT
Cloud, data center, servizi gestiti, connettivita, domini, servizi fiduciari, software, piattaforme e supporti informatici riconducibili alle attività digitali.
Fornitori non ICT non fungibili
Forniture non digitali che, se interrotte, impedirebbero o degraderebbero servizi NIS per assenza di alternative realistiche nei tempi necessari.
Forniture ICT non fungibili
Dipendenze digitali che sono anche difficili da sostituire, come una connettivita non ridondata o un servizio gestito centrale per l'erogazione.
La decisione non dovrebbe essere lasciata a una compilazione frettolosa. Serve documentare il criterio utilizzato, motivare le esclusioni e collegare ogni fornitura a servizi, asset, processi e scenari di continuità. In audit o in caso di richiesta dell'autorità, la tracciabilità della valutazione conta quanto il dato comunicato.
Dati richiesti
Quali informazioni devono essere raccolte
La raccolta dati deve combinare informazioni anagrafiche, classificazione della fornitura e motivazione della rilevanza. La tabella seguente sintetizza i campi da presidiare in un modello operativo utile per portale ACN, controlli interni e audit.
| Informazione | Utilizzo operativo |
|---|---|
| Denominazione fornitore | Nome legale del soggetto che eroga la fornitura rilevante. |
| Codice fiscale o identificativo equivalente | Dato identificativo nazionale o, per soggetti esteri, identificativo equivalente disponibile. |
| Partita IVA, se disponibile | Elemento utile a distinguere entita, sedi o società con denominazioni simili. |
| Sede legale | Paese e sede legale del fornitore, inclusi fornitori esteri o extra UE. |
| Tipologia di fornitura | ICT, non ICT non fungibile, oppure ICT non fungibile. |
| Codice/i CPV | Codici Common Procurement Vocabulary collegati alla fornitura fruita dal soggetto NIS. |
| Criterio di rilevanza | Fornitura ICT, impatto significativo sulla continuità, o entrambe le condizioni. |
| Motivazione della criticità | Ragione operativa per cui la fornitura e essenziale, non sostituibile o ad alto impatto. |
| Attività o servizi NIS impattati | Collegamento tra fornitore, processo, asset, servizio essenziale o importante. |
Chiarimenti operativi
Le FAQ ACN sui fornitori rilevanti NIS: chiarimenti operativi
Le FAQ ACN aiutano a trasformare l'obbligo in scelte pratiche. Il messaggio centrale e che l'elencazione serve a comprendere le dipendenze digitali e non digitali che possono diventare sistemiche per la sicurezza della catena di approvvigionamento.
Fornitori esteri e sedi estere
Le FAQ chiariscono che i fornitori esteri vanno considerati quando erogano forniture rilevanti al soggetto NIS. Lo stesso vale per i fornitori utilizzati da sedi estere di soggetti NIS nazionali: la localizzazione non elimina la dipendenza operativa.
Subfornitori e forniture intermediate
Se il contratto e con un fornitore A, di norma si elenca A. Tuttavia il subfornitore B diventa rilevante quando il suo contributo alla fornitura e evidente o quando eroga concretamente il servizio critico. Se A è solo un canale commerciale, può non essere rilevante; se gestisce l'applicazione o abilita l'erogazione, va valutato.
Fornitori infragruppo
Il fatto che un fornitore appartenga allo stesso gruppo non esclude la valutazione. Se una società del gruppo eroga un servizio ICT o una fornitura non fungibile che incide sui servizi NIS, deve essere trattata come qualsiasi altro fornitore rilevante.
Forniture con più codici CPV
Quando lo stesso fornitore copre più forniture o più codici CPV, la compilazione deve mantenere separata la classificazione. Operativamente conviene creare una riga per ciascun codice CPV, mantenendo invariati i dati del fornitore.
Quando un fornitore va censito
Va censito se la fornitura rientra nelle attività o nei servizi ICT richiamati dalla Determinazione, oppure se l'interruzione o compromissione avrebbe un impatto significativo sulla capacità di erogare servizi NIS, anche per assenza di alternative.
Errori frequenti di compilazione
Gli errori più comuni sono censire solo i fornitori ICT dimenticando quelli non fungibili, ignorare fornitori esteri, non distinguere broker e soggetti che erogano davvero il servizio, usare codici CPV generici senza criterio e non conservare evidenze sulla valutazione svolta.
Checklist operativa
Cosa devono fare concretamente le aziende
L'approccio più robusto e trattare l'adempimento come un progetto trasversale. IT, acquisti, legale, compliance, privacy, business owner e continuità operativa devono lavorare sulla stessa base dati, con criteri condivisi.
- Mappare contratti attivi, ordini, rinnovi e servizi ricorrenti.
- Classificare fornitori ICT, non ICT e forniture ibride.
- Valutare fungibilita, ridondanza, tempi di sostituzione e impatto operativo.
- Associare ogni fornitore ad attività, asset e servizi NIS impattati.
- Raccogliere codici CPV e verificare la coerenza con la fornitura effettiva.
- Validare dati con legale, acquisti, IT, compliance e funzioni operative.
- Caricare o aggiornare le informazioni nel portale ACN secondo le modalità richieste.
- Mantenere evidenze documentali, motivazioni e approvazioni interne.
ISO 27001 e sicurezza fornitori
Impatti su ISO 27001 e supply chain security
Il censimento dei fornitori rilevanti NIS si collega naturalmente a ISO 27001 e alla gestione della sicurezza delle informazioni. Non sostituisce il sistema di gestione, ma lo alimenta con dati essenziali su dipendenze, responsabilità e controlli.
Risk assessment
La classificazione dei fornitori entra nel perimetro di analisi del rischio, con scenari di indisponibilita, compromissione, lock-in e dipendenza.
Supplier security
Qualifica, due diligence, requisiti minimi, monitoraggio e riesame periodico diventano presidi da documentare.
Contratti e SLA
Clausole su sicurezza, audit, incident notification, continuità e subfornitura devono essere coerenti con la criticità della fornitura.
Business continuity
La non fungibilita richiede piani di continuità, strategie alternative e test proporzionati all'impatto sui servizi NIS.
In pratica, la mappa dei fornitori rilevanti dovrebbe entrare nel risk assessment, nelle clausole contrattuali, nei piani di audit, nel monitoraggio periodico, nella business continuity e nel riesame direzionale. Questo rende la compliance NIS2 più difendibile e più utile anche per gare, qualifiche fornitore e clienti enterprise.
Consulenza UNICA
Come può supportare UNICA Consulting
UNICA Consulting affianca aziende soggette a NIS2, gruppi enterprise e funzioni compliance nella costruzione di un modello ordinato, verificabile e sostenibile. Il supporto non si limita alla compilazione: serve a rendere difendibile il criterio con cui un fornitore viene incluso, escluso o classificato.
FAQ SEO
Domande frequenti sui fornitori critici NIS2
Chi sono i fornitori rilevanti NIS?
Sono fornitori che erogano servizi o prodotti a un soggetto NIS e che risultano rilevanti perché la fornitura e ICT, perché non è facilmente sostituibile o perché la sua interruzione può incidere in modo significativo sui servizi NIS.
Tutti i fornitori ICT devono essere comunicati ad ACN?
Non basta l'etichetta commerciale di fornitore ICT: occorre verificare se la fornitura rientra nei criteri previsti e se e collegata alle attività o ai servizi del soggetto NIS. La valutazione deve essere documentata.
Un fornitore estero deve essere censito?
Si, se eroga una fornitura rilevante. La sede estera, anche extra UE, non esclude l'obbligo di valutazione quando la dipendenza impatta servizi o attività NIS.
Un subfornitore deve essere indicato?
Di norma si indica il fornitore contrattuale, ma il subfornitore va considerato quando il suo contributo e palese o quando eroga effettivamente la fornitura critica.
I fornitori infragruppo rientrano nell'obbligo?
Si, devono essere valutati come gli altri fornitori. L'appartenenza allo stesso gruppo non elimina la rilevanza se il servizio e ICT, critico o non fungibile.
Cosa sono i codici CPV?
I codici CPV, Common Procurement Vocabulary, sono una tassonomia europea usata per classificare forniture e servizi. Servono a descrivere in modo omogeneo la tipologia di fornitura comunicata.
Cosa succede se un fornitore non viene censito?
L'omissione può rendere incompleta la rappresentazione della supply chain e indebolire le evidenze di governance. Per questo e opportuno conservare criteri, valutazioni e motivazioni delle esclusioni.
Come prepararsi alla scadenza ACN?
Conviene partire da contratti e servizi attivi, classificare forniture e impatti, raccogliere dati anagrafici e CPV, validare con le funzioni interne e predisporre un fascicolo di evidenze aggiornabile.
Valutazione fornitori NIS
Devi verificare se i tuoi fornitori rientrano tra i fornitori rilevanti NIS?
UNICA Consulting può supportarti nella mappatura, classificazione e predisposizione delle evidenze richieste da ACN.