La direttiva NIS 2 e il d.lgs. 138/2024 l’hanno scritto chiaramente: la supply chain è parte integrante del perimetro di sicurezza di un soggetto essenziale o importante. L’articolo 3, comma 9, lettera f) del decreto lo afferma in termini generali: il decreto si applica anche a un soggetto considerato critico in quanto «elemento sistemico della catena di approvvigionamento, anche digitale». Fino ad aprile 2026 era un principio con poche conseguenze operative dirette per chi si trova a valle della catena. Con la Determinazione ACN n. 127437 del 13 aprile 2026 quel principio diventa un obbligo concreto di comunicazione.
Il nuovo adempimento: l’elenco dei fornitori rilevanti NIS
La Determinazione 127437/2026 sostituisce la precedente 379887 del 19 dicembre 2025 e introduce, tra le principali novità, l’obbligo di elencare i fornitori rilevanti NIS nell’ambito dell’aggiornamento annuale delle informazioni. L’articolo 16, comma 3, lettera g) prescrive che gli utenti «verifichino la correttezza e l’aggiornamento dell’elenco dei fornitori rilevanti NIS, ai fini dell’articolo 3, comma 9, lettera f), del decreto NIS». L’articolo 18 disciplina modalità e contenuto dell’elencazione.
La finestra temporale è la stessa dell’aggiornamento annuale delle informazioni: dal 15 aprile al 31 maggio di ogni anno. L’invio avviene tramite il «Servizio NIS/Aggiornamento annuale informazioni» sul portale dell’Agenzia.
I due criteri di rilevanza (art. 1, c. 1, lett. ll)
La Determinazione definisce «fornitore rilevante NIS» un soggetto che assicura la fornitura di servizi o prodotti a un soggetto NIS e che soddisfa almeno uno dei due seguenti criteri:
- Criterio a — fornitura ICT: la fornitura è riconducibile alle attività o ai servizi di cui all’allegato I, punti 8 e 9, del decreto NIS. Si tratta delle categorie «infrastrutture digitali» e «gestori di servizi TIC (business-to-business)».
- Criterio b — fornitura non fungibile: l’interruzione o la compromissione della fornitura comporta un impatto significativo sulla capacità del soggetto NIS di erogare le attività o i servizi per i quali rientra nell’ambito di applicazione del decreto, anche per effetto dell’indisponibilità di fornitori alternativi.
La FAQ FRN.2 pubblicata dall’ACN precisa che i due criteri sono «in alternativa o congiuntamente»: basta che un solo criterio sia soddisfatto perché il fornitore debba essere elencato.
Le informazioni da comunicare (art. 18)
Per ciascun fornitore rilevante il soggetto NIS deve comunicare cinque informazioni:
- denominazione;
- codice fiscale;
- Paese in cui ha la sede legale;
- codici CPV (Common Procurement Vocabulary) di cui al Regolamento (CE) n. 2195/2002, relativi alle forniture di cui fruisce il soggetto NIS;
- il criterio di rilevanza (a, b o entrambi) utilizzato.
Il vocabolario CPV è la tassonomia standard degli appalti pubblici europei, adottata con Regolamento (CE) 2195/2002 e modificata dal Regolamento (CE) 213/2008. La FAQ FRN.3 rimanda all’elenco completo dei codici CPV su EUR-Lex, ricordando che la tabella di corrispondenza CPV/NACE/ATECO dell’Allegato II.2 bis del nuovo Codice Appalti è soltanto un «supporto orientativo di alto livello»: la selezione definitiva dei codici applicabili resta in capo a ciascun soggetto.
Gli esempi operativi forniti dall’ACN
La FAQ FRN.4 è la parte più utile nella pratica quotidiana: propone un primo elenco operativo di forniture rilevanti con i relativi codici CPV, distinguendo tra criterio b (fornitura non fungibile) e criterio a (fornitura ICT).
Criterio b — esempi di fornitura non fungibile:
- Connettività dati e voce, fissa e mobile, qualora non ridondata (CPV 72400000-4, 72411000-4, 72318000-7);
- Corrente elettrica (CPV 65310000-9, 65300000-6).
Criterio a — esempi di fornitura ICT:
- Servizi di cloud computing (CPV 72300000-8, 72400000-4, 72500000-0, 72510000-3);
- Servizi di data center (CPV 72000000-5);
- Servizi di sistema dei nomi di dominio (CPV 72417000-6);
- Punti di interscambio Internet (CPV 64221000-1);
- Reti di distribuzione dei contenuti (CPV 72400000-4);
- Prestatori di servizi fiduciari, firme e certificati (CPV 79132100-9, 48000000-8);
- Fornitori di reti pubbliche di comunicazione elettronica (CPV 64200000-8) e di servizi di comunicazione accessibili al pubblico (CPV 64210000-1);
- Servizi gestiti e servizi gestiti di sicurezza — MSSP (CPV 72500000-0, 72510000-3, 72250000-2, 72600000-6, 72800000-8).
L’elenco non è esaustivo. La FAQ FRN.4 specifica che «rientrano tutte le dipendenze digitali del soggetto NIS nonché anche le dipendenze non digitali che non possono essere sostituite senza determinare un impatto significativo sulle attività e sui servizi NIS».
A cosa serve davvero l’elenco
La ratio dell’adempimento è esplicitata dalla stessa ACN: «questo esercizio è necessario per selezionare, tra i fornitori, coloro i quali dovranno essere individuati quali soggetti importanti o essenziali al fine di promuovere un adeguato livello di sicurezza informatica lungo la catena di approvvigionamento dei soggetti NIS».
È un meccanismo a cascata: ciascun soggetto NIS segnala i propri fornitori critici; l’Agenzia, incrociando le segnalazioni e d’intesa con le Autorità di settore, individua quelli che per volume e peso sistemico andranno a loro volta inclusi nell’elenco dei soggetti NIS come «importanti» o «essenziali», assumendo in proprio gli obblighi del d.lgs. 138/2024. Si parla comunemente di «effetto a cascata» della NIS 2 sulla supply chain: l’articolo 18 della Determinazione 127437 ne traduce il meccanismo in una comunicazione operativa annuale.
Il nodo delle dipendenze non digitali
Il punto più innovativo rispetto alla precedente Determinazione 379887/2025 è l’estensione esplicita del criterio di rilevanza alle forniture non digitali. La stessa FAQ FRN.4 cita la corrente elettrica come esempio paradigmatico: un fornitore di energia elettrica non è un fornitore ICT, ma se è l’unico contrattualizzato e il soggetto NIS non dispone di autonomia (gruppi elettrogeni, continuità) che copra il fermo, la fornitura rientra tra quelle rilevanti per criterio b.
Il test operativo da applicare a ogni fornitore è sostanzialmente uno: se il fornitore si ferma domani, quanto ci mettiamo a sostituirlo senza impatto sulle attività o sui servizi NIS? Se la risposta è «giorni o settimane, senza una procedura pronta», la fornitura è non fungibile e il fornitore è rilevante. Se è «ore, con un contratto di backup già attivo e una procedura di switch documentata», la fornitura è fungibile e il fornitore non va elencato.
Il calendario 2026
La Determinazione 127437 si applica dal 15 aprile 2026. Fanno eccezione le disposizioni su elencazione e categorizzazione delle attività e dei servizi (artt. 1, 2, 20 e 21), la cui applicazione è differita al 1° maggio 2026. La finestra del primo adempimento relativo ai fornitori rilevanti si chiude quindi il 31 maggio 2026, e per tutti i soggetti NIS già iscritti all’elenco l’adempimento è obbligatorio già in questo primo ciclo.
Il regime sanzionatorio per l’inadempimento è quello generale dell’articolo 38 del d.lgs. 138/2024: sanzioni amministrative pecuniarie commisurate al fatturato annuo mondiale, con soglie differenziate per soggetti essenziali e importanti, oltre alle misure correttive previste dall’articolo 37.
Come mappare la catena in pratica
Per un soggetto NIS che si trova a ridosso della scadenza del 31 maggio, l’esercizio utile è la mappatura ragionata della catena di approvvigionamento. In pratica significa:
- estrarre dall’ERP o dal sistema di contabilità l’elenco dei fornitori attivi (contratti in corso o con consumi rilevanti nell’anno);
- marcare quelli che ricadono nelle categorie ICT della FAQ FRN.4 come candidati al criterio a;
- sottoporre i restanti al test di fungibilità del criterio b, contestualizzato sulle effettive attività NIS del soggetto;
- per ciascun fornitore rilevante, raccogliere le cinque informazioni dell’articolo 18 e in particolare selezionare i codici CPV applicabili dal Regolamento 2195/2002;
- caricare l’elenco sul Servizio NIS/Aggiornamento annuale informazioni entro il 31 maggio.
Il passaggio che tipicamente rallenta l’attività è il terzo: applicare il test di fungibilità richiede di incrociare ogni fornitore con il responsabile del processo operativo che dipende dalla fornitura, non basta la conoscenza contrattuale del reparto acquisti. È per questo che nella maggior parte delle organizzazioni l’adempimento diventa un esercizio trasversale tra funzione ICT, ufficio acquisti e linee operative, da coordinare in tempi brevi nelle prime settimane della finestra.
Il principio guida suggerito dall’ACN, in caso di dubbio, è prudenziale: meglio segnalare un fornitore in più che uno in meno. L’omissione è sanzionabile; la segnalazione di un fornitore che poi l’Agenzia non inserirà tra i soggetti NIS non produce conseguenze per il dichiarante.
Fonti
Determinazione ACN n. 127437 del 13 aprile 2026, articoli 1, 16 e 18. FAQ ACN FRN.1, FRN.2, FRN.3 e FRN.4 relative all’elenco dei fornitori rilevanti NIS, pubblicate sul sito dell’Agenzia per la cybersicurezza nazionale. Circolare ASSTRA 210/SAG/Fr.Ma del 20 aprile 2026. D.lgs. 4 settembre 2024 n. 138, articolo 3 comma 9 lettera f).