COMPLIANCE NIS 2: OBBLIGO DI COMUNICARE L’ELENCO DEI FORNITORI RILEVANTI NIS
Autore: avv. Gianluca Dalla Riva del foro di Belluno

L’ACN, quale Autorità nazionale competente NIS, ha emanato il 13.04.2026 la determinazione n. 127437/2026[1], che aggiorna e sostituisce la precedente determinazione n. 379887 del 19.12.2025 e introduce due novità importanti nell’ambito degli obblighi di registrazione dei soggetti NIS nella piattaforma ACN ex art. 7 decreto NIS[2]. Si tratta di una determinazione che pone norme giuridiche di natura secondaria che trovano la propria fonte del diritto nell’art. 31 del decreto NIS, che conferisce all’ACN, nella veste di Autorità nazionale competente NIS, mediante il procedimento di cui al successivo art. 40 comma 5[3], il potere di stabilire per i soggetti NIS obblighi proporzionati e graduali per l’attuazione degli adempimenti ivi indicati. La prima novità della determinazione è l’obbligo di elencare i “fornitori rilevanti NIS” come previsto dagli artt. 16 e 18, da effettuare dal 15 aprile al 31 maggio, la seconda novità riguarda l’obbligo di comunicare l’elencazione e categorizzazione delle attività e dei servizi del soggetto NIS previsto dal capo V della determinazione in parola da effettuare dal 1° maggio al 30 giugno di ogni anno[4]. Per quest’ultimo adempimento a breve sarà pubblicato da ACN il modello di categorizzazione, unitamente al materiale informativo a supporto per cui ci si riserva un approfondimento su questo specifico adempimento in seguito, concentrando invece l’analisi sull’obbligo di elencazione dei fornitori rilevanti NIS.

Obbligo di elencazione dei fornitori rilevanti NIS

Appare prima di tutto fondamentale partire da una approfondita esegesi normativa iniziando dall’art. 16 della determinazione n. 12743/2026 che prevede, come detto, l’obbligo annuale, dal 15 aprile al 31 maggio, di comunicare o aggiornare nella piattaforma ACN, tramite il “Servizio NIS/aggiornamento annuale informazioni”, una serie di informazioni tra cui quelle previste dal terzo comma, lettera g), che riguardano l’obbligo di comunicare l’elenco dei fornitori rilevanti NIS. Tale elenco viene comunicato ai fini dell’articolo 3, comma 9, lettera f), del decreto NIS[5], cioè finalizzato alla c.d. identificativa governativa di un soggetto NIS[6]. Infatti, l’art. 3 del decreto NIS prevede l’individuazione di un soggetto NIS non solo mediante applicazione automatica degli specifici criteri oggettivi quali la tipologia di settore critico di cui agli allegati I e II e il criterio dimensionale, a seconda dei casi[7], ma prevede particolari situazioni in cui è direttamente l’ACN, quale Autorità nazionale competente NIS, su proposta dell’Autorità di settore interessata, sentito il Tavolo per l’attuazione della disciplina NIS, ad identificare un soggetto come soggetto NIS, indipendentemente dalle sue dimensioni[8]. Di particolare rilevanza sono le ipotesi elencate nel comma 9 dell’art. 3 dove per la sua applicabilità è previsto sia che il soggetto rientri in uno dei settori o delle tipologie di cui agli allegati I, II, III e IV, indipendentemente dalle sue dimensioni, sia che ricorra almeno una delle situazioni descritte nelle lettere elencate da a) a f). L’ultima lettera f), si riferisce all’ipotesi che un soggetto sia considerato critico quale elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti essenziali o importanti. In parole più semplici, si tratta di fornitori che offrono beni o servizi ad uno o più soggetti NIS, la cui mancanza è in grado non solo di compromettere la fornitura di questi ultimi, ma si può riverberare poi a livello sistemico su tutta la catena di approvvigionamento con gravi conseguenze economico-sociali. Una delle ragioni per cui può essere compromessa la fornitura è certamente la scarsa sicurezza informatica, ragione per cui, ricorrendo tali condizioni, è stata introdotta dalla norma questa possibilità di identificare come soggetto NIS direttamente il fornitore critico, a prescindere dalla dimensione, con conseguente obbligo di adottare le misure di sicurezza informatica previste dal decreto NIS, rafforzando così la resilienza dei suoi sistemi informativi e di rete da cui dipende poi la fornitura critica.

La nozione di fornitori rilevanti NIS

E’ chiaro però che per giungere a tali conclusioni, è necessario che i requisiti previsti dalla norma siano adeguatamente provati ed è proprio per questo motivo che è stato introdotto dalla determinazione n. 12437/2026, nell’art. 16 comma 3, lett. g), l’obbligo di elencare questa tipologia di fornitori critici, denominati “fornitori rilevanti NIS”, nel chiaro intento da parte di ACN, espressamente dichiarato nelle premesse[9], di raccogliere informazioni utili per poterli identificare. La definizione di fornitori rilevanti NIS si trova nell’art. 1 lett. ll) che si riproduce di seguito per comodità espositiva:

“ll) “fornitori rilevanti NIS”, un soggetto che assicura la fornitura di servizi o di prodotti a un soggetto NIS che soddisfa almeno uno dei seguenti criteri di rilevanza:    
1) la fornitura è riconducibile alle attività o ai servizi di cui all’allegato I, punti 8 e 9, del decreto NIS (fornitura ICT);     
2) l’interruzione o la compromissione della fornitura comporta un impatto significativo sulla capacità del soggetto NIS, anche per effetto della indisponibilità di fornitori alternativi, di erogare le attività o i servizi per i quali rientra nell’ambito di applicazione del decreto NIS (fornitura non fungibile);”.

Questa definizione di fornitori rilevanti NIS si compone di più elementi che vanno interpretati tenendo conto del quadro normativo in cui si collocano. Il primo elemento definisce il fornitore rilevante NIS in relazione al ruolo che svolge per un soggetto NIS che è quello di assicurare a quest’ultimo la fornitura di servizi o prodotti. Si noti che il dato letterale di per sé non limita il tipo di servizio o prodotto che viene fornito al soggetto NIS, perché questo limite viene determinato da due successivi criteri di rilevanza. Il primo criterio di rilevanza è basato sul dato meramente oggettivo della tipologia di fornitura, denominata “fornitura ICT” riconducibile alle attività o servizi di cui all’allegato I, punti 8 e 9 del decreto NIS, che come noto riguardano rispettivamente i settori relativi all’infrastrutture digitali e alla gestione dei servizi TIC (B2B). Non si comprende, peraltro, perché nel criterio di rilevanza della fornitura ICT non sia stato considerato anche il settore n. 6 relativo ai fornitori di servizi digitali di cui all’allegato II del decreto NIS, servizi che comunemente rientrano in tale categoria. Se come detto la finalità è quella di individuare i fornitori critici ai sensi dell’art. 3 co. 9, lett. f), non si vede perché i fornitori di servizi digitali non devono essere considerati come fornitori ICT[10]. Altro aspetto che emerge dal dato letterale è che è sufficiente che ci sia la fornitura ICT perché il fornitore sia considerato un fornitore rilevante NIS, indipendentemente dal fatto che la fornitura dei servizi o prodotti sia in grado di incidere sulle attività o i servizi per i quali il soggetto NIS rientra nell’ambito di applicazione del decreto NIS. Secondo questa impostazione, quindi, sono qualificabili come fornitori rilevanti NIS anche i fornitori di servizi ICT che forniscono un soggetto NIS anche quando tale fornitura non incide sui “sistemi informativi e di rete rilevanti”[11], dato che un soggetto NIS può avere diversi sistemi informativi e di rete diversificati dedicati a più attività e solo alcune di esse sono qualificabili come rientranti nel campo di applicazione del decreto NIS. Evidentemente l’intento è quello di raccogliere più informazioni possibili su questi fornitori ICT, essendo sufficiente che forniscano soggetti NIS, senza ulteriori limitazioni.       
Il secondo criterio di rilevanza, denominato “fornitura non fungibile”, amplia ancora di più la categoria dei fornitori rilevanti NIS, secondo il criterio del potenziale impatto significativo della interruzione o compromissione della fornitura sulle “attività o servizi NIS” [12] dovuto in particolare anche per effetto dell’infungibilità della fornitura, quindi per indisponibilità di fornitori alternativi. In questo caso, si amplia di molto il novero dei fornitori rilevanti NIS perché dal dato letterale il fornitore può erogare qualunque tipo di fornitura purché questa sia tale da comportare un impatto significativo sulle attività o servizi NIS in caso di sua interruzione o compromissione. Tuttavia, si deve tener conto che la comunicazione dell’elenco dei fornitori rilevanti NIS è effettuata ai fini dell’identificazione governativa del fornitore critico ai sensi dell’art. 3 comma 9, lett. f), come indicato negli art. 16 co. 3 lett. g) e art. 18. Questo dato normativo non può che portare alla conclusione che il fornitore debba essere sempre un soggetto dei settori o delle tipologie di cui agli allegati I, II, III, IV del decreto NIS, o più praticamente dei primi due allegati, perché è una condizione indefettibile prevista dal predetto comma 9 dell’art. 3 del decreto NIS, senza la quale non è possibile configurare il fornitore critico come soggetto NIS, essenziale o importante[13]. Altro aspetto che emerge dal dato letterale è che è sufficiente, per individuare un fornitore rilevante NIS, che la fornitura non fungibile incida sulle attività o servizi NIS, anche a prescindere dal fatto che possa impattare sui sistemi informativi e di rete NIS, cioè quelli in grado di abilitare i primi. Per chiarire questo punto è opportuno proporre un esempio. Se un fornitore fornisce un soggetto NIS con una materia prima o semilavorati[14], particolarmente difficili da trovare sul mercato, indispensabili per le attività o servizi NIS, indubbiamente si ricade nella nozione di fornitura non fungibile. Tuttavia, l’interruzione della materia prima o dei semilavorati di per sé non impattano minimamente sul funzionamento dei sistemi informativi e di rete NIS perché questi non hanno bisogno di quelle materie prime e semilavorati per essere gestiti. Indubbiamente possono esserci casi in cui la fornitura non fungibile è tale anche da incidere sui sistemi informativi e di rete NIS, ma non è necessario per ricadere nel criterio di rilevanza della fornitura non fungibile. Questa possibile dissociazione tra il fornitore rilevante NIS e il potenziale impatto sui sistemi informativi e di rete NIS, si spiega con lo scopo della norma di facilitare il lavoro dell’ACN, ponendo a carico del soggetto NIS di comunicare l’elenco dei fornitori rilevanti NIS. Se poi questo obbligo viene adempiuto da parte di tutti i soggetti NIS italiani, tutti questi dati sono in grado di offrire preziose informazioni per valutare quali sono i fornitori rilevanti NIS da qualificare come soggetti, essenziali o importanti. Senza volerlo, per certi aspetti, il soggetto NIS, comunicando l’elenco dei fornitori rilevanti NIS, può contribuire a far classificare il suo fornitore come soggetto NIS, essenziale o importante.

Sulle modalità con cui comunicare l’elenco dei fornitori rilevanti NIS

L’art. 18 della determinazione n. 127437/2026 indica le modalità con cui deve essere comunicato l’elenco dei fornitori rilevanti NIS, che si riproduce di seguito per comodità espositiva:

Nell’articolo si evidenzia come questa elencazione dei fornitori rilevanti NIS debba avvenire ai fini del precedente art. 16, comma 3, lettera g), dove si è già evidenziata la finalità di agevolare l’identificazione governativa nel caso di fornitore critico quale elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti NIS. Per ogni fornitore dovranno essere indicati oltre ai dati identificativi e al criterio di rilevanza già sopra esaminato, anche i codici CPV (Common Procurement Vocabulary) di cui al regolamento (CE) 2195/2002, relativo al vocabolario comune per gli appalti pubblici (CPV)[15]. In pratica nella determinazione si è utilizzata questa classificazione relativa agli appalti pubblici per ogni tipo di fornitore rilevante NIS, a prescindere dalla presenza di un appalto pubblico[16]. La stessa ACN propone esempi applicativi peraltro non sempre condivisibili[17].

Sulla distinzione tra fornitori rientranti nel perimetro di sicurezza informatica del soggetto NIS e fornitori rilevanti NIS

Una considerazione finale riguarda il confronto tra l’elenco dei fornitori rilevanti NIS e l’inventario dei fornitori da considerare ai fini dell’applicazione delle misure di sicurezza informatica di cui all’art. 24 del decreto NIS, come declinate dall’ACN mediante la determinazione n. 379907/2025 sulle specifiche di base[18]. Secondo quest’ultime i soggetti NIS devono inventariare i fornitori delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete del soggetto NIS ai fini della gestione del relativo rischio. Ora mentre in quest’ultimo inventario sono inclusi tutti i fornitori che possono impattare sui servizi informativi e di rete quantomeno rilevanti, nell’elencazione dei fornitori rilevanti NIS, i primi possono non essere inseriti e questo per varie ragioni e precisamente:

• il fornitore non è un soggetto dei settori o delle tipologie di cui agli allegati I, II, III e IV del decreto NIS, che, come visto in precedenza, è un requisito indefettibile previsto dal comma 9 dell’art. 3 del decreto NIS per qualificare un fornitore critico, come soggetto NIS, essenziale o importante;
• Il fornitore non rientra in uno dei settori n. 8 e 9 dell’allegato I ed eroga un prodotto o servizio al soggetto NIS fungibile, tuttavia in grado di impattare in modo significativo sui sistemi informativi e di rete NIS. Quindi, ad esempio, un fornitore di servizi digitali di cui al settore n. 6 dell’allegato II del decreto, come un fornitore di mercati online o di servizi di registrazione di nomi di dominio se è sostituibile o ridondante, non rientra nel criterio della fornitura non fungibile e quindi non dovrà essere oggetto dell’elencazione dei fornitori rilevanti NIS. Tuttavia, questi fornitori molto facilmente rientrano nell’inventario dei fornitori delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete del soggetto NIS;
• il fornitore rientra in uno dei settori o tipologie di cui agli allegati I, II, III e IV del decreto NIS, ma fornisce prodotti o servizi non fungibili che non hanno alcun potenziale impatto sulla sicurezza dei sistemi informativi e di rete del soggetto NIS[19].

In sostanza quindi l’elencazione dei fornitori rilevanti NIS ha uno scopo diverso rispetto all’inventario dei fornitori al fine della gestione del rischio dei sistemi informativi e di rete quantomeno rilevanti previsti dalle specifiche di base secondo il FNCS-DP elaborato da ACN. Questa differenza va tenuta in debita considerazione nella compliance al decreto NIS.

Considerazioni finali

L’elencazione dei fornitori rilevanti NIS prevista dalla determinazione ACN n. 127437/2026 introduce in concreto un obbligo di collaborazione tra i soggetti NIS e l’ACN al fine dell’identificazione governativa dei fornitori critici ai sensi dell’art. 3, co. 9, lett. f) del decreto NIS. Questo dovrebbe portare ad una maggior resilienza della catena di approvvigionamento per i soggetti NIS, uno degli obiettivi della direttiva NIS 2. Tuttavia, oltre alla difficoltà pratica di applicare i criteri di rilevanza, la stessa denominazione di fornitori rilevanti NIS può portare a fraintendimenti su cosa si intende esattamente con tale locuzione. In particolare, questi possono essere confusi con i fornitori delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete del soggetto NIS. Sebbene possa capitare che uno stesso fornitore rientri in entrambe le due nozioni, tuttavia questo non è sempre vero, per cui appare fondamentale tenerle distinte. Questa conclusione comporta la necessità che vengano redatte due liste diverse, una per l’elencazione dei fornitori rilevanti NIS e l’altra relativa all’inventario dei fornitori delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete del soggetto NIS come previsto dal FNCS-DP citato. Resta infine la considerazione che l’adeguamento al decreto NIS è sempre più un’attività dinamica, in cui durante il percorso di compliance ci sono continue novità normative che richiedono un attento vaglio interpretativo.

 

[1] Contestualmente l’ACN ha anche emanato la determinazione n. 127434/2026 sui termini per l’adozione delle misure di sicurezza e per l’adempimento degli obblighi di notifica nonché per gli adempimenti previsti dall’art. 29 del decreto NIS, non oggetto del presente articolo.

[2] Cioè il decreto legislativo 4.09.2024 n. 138.

[3] Il comma 5 dell’art. 40 del decreto NIS, rubricato “Attuazione”, prevede che l’ACN, sentito il Tavolo per l’attuazione della disciplina NIS, possa adottare una o più determinazioni per attuare in concreto il decreto NIS, tra cui nella lettera l), che fa proprio riferimento all’art. 31 e precisamente:

“l) sono stabiliti obblighi proporzionati e graduali, a valenza multisettoriale e, ove opportuno, settoriale, di cui all'articolo 31, le modalità di applicazione dei medesimi obblighi per i soggetti che svolgono attività in più settori o sottosettori e per i soggetti di cui all'articolo 32, commi 1 e 2;”.

[4] Si vedano per i termini rispettivamente gli artt. 16 comma 1 e 20 comma 1 della determinazione citata.

[5] Si riproduce di seguito il testo:   
“9. Il presente decreto si applica, altresì, anche ai soggetti dei settori o delle tipologie di cui agli allegati I, II, III e IV, indipendentemente dalle loro dimensioni, individuati secondo le procedure di cui al comma 13, qualora: …

1. f) il soggetto sia considerato critico ai sensi del presente decreto quale elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti considerati essenziali o importanti.”.

[6] Si utilizza la stessa terminologia utilizzata dall’ACN nella FAQ AMB.GE.1 “Quali sono i settori e i soggetti che ricadono nell’ambito di applicazione?”, che si trova sul sito ACN, sezione ambito, link https://www.acn.gov.it/portale/faq/nis/ambito

[7] Si vedano i primi 5 commi dell’art. 3 del decreto NIS.

[8] Si veda l’art. 3 commi 8 e 9 del decreto NIS.

[9] Si vedano le premesse della determinazione in parola:     
“CONSIDERATA inoltre, la necessità di acquisire le informazioni relative ai fornitori considerati rilevanti al fine di individuare, ai sensi dell’articolo 3, comma 9, lettera f), del decreto NIS, gli elementi sistemici della catena di approvvigionamento, anche digitale, di uno o più soggetti considerati essenziali o importanti;”.

[10] Si pensi per esempio ai gravi effetti anche sistemici che derivano da interruzione o compromissione di servizi da parte dei fornitori di mercati online o di servizi di registrazione di nomi a dominio. Si veda in proposito la successiva nota n. 17 dove si ipotizza una dimenticanza.

[11] Si veda la definizione della determinazione ACN del 18.12.2025 n. 379907/2025, art. 1, lett. l):

“l) “sistemi informativi e di rete rilevanti”, sistemi informativi e di rete la cui compromissione comporterebbe un impatto significativo sulla riservatezza, integrità e disponibilità delle attività e dei servizi per i quali il soggetto NIS rientra nell’ambito di applicazione del decreto NIS;”.

[12] Utilizzo questa espressione per indicare i servizi ed attività che rientrano nell’ambito di applicazione del decreto NIS, nozione che richiama, mutatis mutandis, le definizioni contenute nel DPCM 9.12.2024 n. 221, relative ai criteri di applicazione della clausola di salvaguardia, rispettivamente indicate nell’art. 1, lett. i), l):

“i) «attivita' e servizi NIS»: le attività e i servizi che rientrano nell'ambito di applicazione del decreto NIS per i quali il soggetto richiede l'applicazione della clausola di salvaguardia;

1. l) «sistemi informativi e di rete NIS»: i sistemi informativi e di rete che abilitano attività e servizi NIS.”.

Le nozioni molto immediate di “attività e servizi NIS” e “sistemi informativi e di rete NIS” possono essere utilizzate a prescindere dall’applicazione della clausola di salvaguardia che è solo uno specifico campo di applicazione.

[13] Infatti, l’incipit del comma 9 citato è il seguente:

“9. Il presente decreto si applica, altresì, anche ai soggetti dei settori o delle tipologie di cui agli allegati I, II, III e IV, indipendentemente dalle loro dimensioni, individuati secondo le procedure di cui al comma 13, qualora:…”.

[14] Si pensi per esempio al settore alimentare.

[15] La versione consolidata del regolamento si trova a questo link https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02002R2195-20220710

[16] Si veda sul punto la FAQ FRN.3 sul sito ACN si veda link https://www.acn.gov.it/portale/faq/nis/aggiornamento-delle-informazioni

[17] Si veda la FAQ FRN.4 sul sito ACN cit., che propone degli esempi, di cui si riporta un estratto di seguito:

“FRN.4 Quali sono alcuni esempi di forniture rilevanti NIS?

Tenuto conto della definizione di fornitori rilevanti NIS, rientrano tutte le dipendenze digitali del soggetto NIS  nonché anche le dipendenze non digitali che non possono essere sostituite senza determinare un impatto significativo sulle attività e sui servizi NIS.

Con riferimento a quest’ultimo criterio di rilevanza (forniture non fungibili – criterio di rilevanza b)), si evidenziano, in particolare:

Connettività (dati e voce, fissa e mobile), qualora non ridondata:

CPV: Servizi di Internet [72400000-4], Fornitori di servizi Internet (ISP) [72411000-4], Servizi di trasmissione di dati [72318000-7]…”.

Non si condivide la classificazione dei fornitori di servizi internet (ISP) nel secondo criterio di rilevanza “fornitura non fungibile” perché questi fornitori sono qualificabili come fornitori di servizi di comunicazione elettronica accessibili al pubblico e pertanto rientrano nel settore n. 8, infrastrutture digitali, allinea 9, quindi si applica il primo criterio di rilevanza (fornitura ICT).            
Altra osservazione, nella FAQ si afferma che tra i fornitori rilevanti NIS rientrano tutte le dipendenze digitali del soggetto NIS, ma come abbiamo visto nel criterio di rilevanza, fornitori ICT, di cui all’art. 1, lett. ll), punto 1, non è compreso il settore dei servizi digitali n. 6 dell’allegato II al decreto NIS. Questo può far supporre che sia stata una dimenticanza.

[18] In questa determinazione è stato adottato il FNCS-DP “Framework Nazionale per la Cybersecurity e la Data Protection”, contenente le misure di sicurezza di base da adottare, suddivise per complessità a seconda che il soggetto sia essenziale o importante. Nella misura con codice GV-SC-04 si legge nel requisito n. 1 “E’ mantenuto e aggiornato un inventario aggiornato dei fornitori delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete…”.

[19] Si veda l’esempio sulle forniture di materie prima o prodotti semilavorati nel settore alimentare indicati nel capitolo precedente.

---

Like   Back to Top   Seen 406 times   Liked 0 times

Subscribe to Updates

Enter your email address to be notified of new posts

Subscribe to:
All Posts GDPR cyber security

x

Subscribe to Updates

If you enjoyed this, why not subscribe to free email updates ?

I've already subscribed / don't show me this again